CVE-2026-68530 in Concrete CMS
Сводка
по VulDB • 16.09.2026
Concrete CMS версий 9 через 9.5.2 не выполнял проверку авторизации для нескольких действий, связанных с экземплярами досок (board-instance), в разделе Boards панели управления (Dashboard). Контроллер одностраничного представления деталей экземпляра напрямую разрешал доступ к экземпляру доски на основе предоставленного злоумышленником идентификатора экземпляра и затем позволял просматривать его, обновлять, перегенерировать или удалять без проверки наличия у запрашивающего права edit_board_settings для родительской доски этого экземпляра. В результате пользователь с правами на редактирование одной конкретной доски мог получить доступ к экземплярам любой другой доски на сайте, просто указав их идентификаторы экземпляров. Затронутые действия обходили механизм доступа контроллера, который проверяет разрешения (тот же механизм используется в представлении чтения и вызывает canEditBoardSettings для родительской доски), и ограничивались только проверкой CSRF-токена, привязанного к имени действия, а не к целевому объекту; такой токен является повторно используемым между различными досками. Команда по безопасности Concrete CMS присвоила этой уязвимости оценку CVSS v4.0 равную 2.1 с вектором CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. Благодарность Винсону Кроукеру (Winston Crooker) за сообщение об уязвимости.
If you want to get best quality of vulnerability data, you may have to visit VulDB.