CVE-2026-81908 in Concrete CMS
Sumário
de VulDB • 11/09/2026
O Concrete CMS nas versões 9.2.0 a 9.5.2 contém uma vulnerabilidade de autorização ausente no endpoint da lista do grupo na API REST. O método listGroups() em concrete/src/Api/Controller/Groups.php registra um callback verificador de permissões que retorna incondicionalmente true, portanto nenhuma autorização por objeto (nó da árvore) é aplicada quando a coleção de grupos é retornada. Um usuário autenticado cujo token de API possua o escopo groups:read pode chamar GET /ccm/api/1.0/groups e receber todos os grupos do site independentemente das permissões de visualização desses grupos, divulgando a estrutura de grupos da organização, funções (roles) e hierarquia de acesso. A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade uma pontuação CVSS v4.0 de 6.0 com o vetor CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N. Agradecimentos ao Winston Crooker por ter reportado a vulnerabilidade.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.