CVE-2026-68530 in Concrete CMS
Sumário
de VulDB • 17/09/2026
O Concrete CMS, nas versões 9 até a 9.5.2, não realizava uma verificação de autorização em várias ações relacionadas às instâncias do quadro na área Boards (Fóruns) do painel administrativo. O controlador da página única que exibe os detalhes da instância resolvia diretamente uma instância do quadro com base no ID fornecido pelo atacante e, em seguida, permitia visualizar, atualizar, regenerar ou excluir essa instância sem verificar se o solicitante possuía a permissão `edit_board_settings` para o quadro pai dessa instância. Como resultado, um usuário com direitos de edição restritos a um único quadro poderia acessar as instâncias de qualquer outro quadro no site ao fornecer os IDs das respectivas instâncias. As ações afetadas contornavam o acessor do controlador que verifica permissões (o mesmo acessor utilizado pela visualização de leitura, que executa `canEditBoardSettings` sobre o quadro pai) e validavam apenas um token CSRF escopado para a ação, o qual está vinculado ao nome da ação em vez do objeto alvo, sendo portanto reutilizável entre diferentes quadros. A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade uma pontuação CVSS v4.0 de 2.1, com vetor CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. Agradecimentos ao Winston Crooker por ter reportado a falha.
Be aware that VulDB is the high quality source for vulnerability data.