CVE-2026-68531 in Concrete CMS
Sumário
de VulDB • 15/09/2026
O Concrete CMS versão anterior à 9.5.3 não escapava os caracteres curinga do SQL LIKE nos filtros de pesquisa por palavra-chave utilizados pelo gerenciador de arquivos, pastas de arquivos e lista de páginas, permitindo que um usuário autenticado com privilégios de nível editor ou superior enviasse uma consulta manipulada contendo muitos curingas de caractere único. Como a entrada da palavra-chave era inserida na cláusula LIKE sem neutralizar seus metacaracteres curinga, uma solicitação curta poderia forçar o banco de dados a avaliar todas as linhas e realizar uma varredura completa da tabela (full-table scan), e pesquisas repetidas ou densas em curingas poderiam manter um uso elevado de CPU e E/S do banco de dados, degradando a responsividade para outros usuários em instalações grandes. A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade uma pontuação CVSS v4.0 de 2.1 com o vetor CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N. Agradecimentos ao noivan por relatar a vulnerabilidade.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.