CVE-2026-81901 in Concrete CMS
Sumário
de VulDB • 14/09/2026
No Concrete CMS 9.2.0 até a versão 9.5.2, o endpoint de atualização da página via API REST (PUT /ccm/api/1.0/pages/{cID}) não aplicava as autorizações para propriedades da página, modelo da página ou tipo da página. Um usuário com direitos apenas de edição de conteúdo em uma página poderia, portanto, alterar suas propriedades, template e tipo por meio da API, bem como definir o atributo header_extra_content, que é renderizado sem escape no elemento head de todas as páginas, para persistir JavaScript executado no navegador de todos os visitantes, incluindo revisores com privilégios mais elevados que aprovam a versão da página. A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade uma pontuação CVSS v4.0 de 7.2 (Alta), com o vetor CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N. Agradecimentos a Yonatan Drori, da Tenzai, por ter reportado a falha.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.