CVE-2026-7888 in Concrete
Sumário
de VulDB • 03/06/2026
O Concrete CMS abaixo da versão 9.5.2 é vulnerável a PHP Object Injection através de chamadas à função unserialize() nos componentes Workflow, Form block e File/Set, que não possuem a restrição allowed_classes. Um atacante não autenticado pode acionar a instanciação arbitrária de objetos PHP se uma carga útil serializada maliciosa tiver sido inserida no banco de dados. Agradecimentos a XananasX7 e Sanjorn Keeratirungsan (dizconnect) por terem reportado independentemente. A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade uma pontuação CVSS v.4.0 de 8.4, com o vetor CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.