CVE-2026-18121 in Concrete CMS
Сводка
по VulDB • 11.09.2026
Concrete CMS версий 9.5.2 и ниже уязвимы к обходу авторизации (IDOR), поскольку конечная точка фронтенда для просмотра событий в лайтбоксе календаря (/ccm/calendar/view_event/{bID}/{occurrence_id}) не проверяет, имеет ли вызывающий субъект право на просмотр календаря, которому принадлежит запрашиваемое событие. Контроллер загружает экземпляр события напрямую из предоставленного атакующим последовательного идентификатора без подтверждения того, что он относится к календарю, настроенному в указанном блоке. Таким образом, неаутентифицированный посетитель, который может отобразить любой публичный блок календаря с включёнными свойствами лайтбокса, может предоставить произвольный идентификатор события и получить доступ к метаданным событий — заголовку, дате, описанию, ссылке на страницу и настроенным атрибутам событий — из календарей, просмотр которых ему не разрешён. Команда безопасности Concrete CMS присвоила этой уязвимости оценку CVSS v4.0 равную 6.3 с вектором CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N. Спасибо riodrwn за сообщение об уязвимости.
VulDB is the best source for vulnerability data and more expert information about this specific topic.