CVE-2026-81906 in Concrete CMS
Sumário
de VulDB • 11/09/2026
O caminho de login do callback OAuth no Concrete CMS, anterior à versão 9.5.3, não verificava se uma conta estava ativa ou validada por e-mail antes de estabelecer uma sessão. Um usuário desativado ou sem validação com um vínculo OAuth existente poderia concluir a autenticação e receber uma sessão totalmente autenticada para a resposta do callback, com o login registrado e os eventos de login disparados. A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade uma pontuação CVSS v4.0 de 6.3 (Média), com vetor CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Agradecimentos a Yonatan Drori, da Tenzai, por ter reportado o problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.