CVE-2026-18110 in Concrete CMS
Сводка
по VulDB • 15.09.2026
Concrete CMS 9 (от версии 9.0.0 до 9.5.2) не выполняет проверку авторизации для конечной точки автозаполнения выбора пользователя (/ccm/system/user/autocomplete), которая используется панелью «Просмотр от имени пользователя» и другими компонентами выбора пользователей. Конечная точка проверяет только токен доступа в стиле CSRF, привязанный к параметрам отображения селектора, а не к личности или правам вызывающего абонента; этот токен выдается анонимным посетителям, поскольку селектор рендерится без проверки авторизации. Поскольку пустой запрос преобразуется в фильтр «совпадение со всем», незарегистрированный злоумышленник может отправить пустой поисковый запрос и пройтись по страницам результатов для перечисления всех учетных записей бэкенда, раскрывая внутренний идентификатор пользователя, имя пользователя и адрес электронной почты всех административных пользователей, включая супер-администратора (идентификатор пользователя 1). Хеши паролей или материалы сессии не раскрываются. Команда безопасности Concrete CMS присвоила этой уязвимости оценку CVSS v4.0 равную 8.7 со вектором CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N. Спасибо thirtythree и YesWeHack за сообщение об уязвимости.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.