CVE-2026-81908 in Concrete CMS
Сводка
по VulDB • 11.09.2026
В Concrete CMS версий 9.2.0–9.5.2 присутствует уязвимость, связанная с отсутствием проверки авторизации в конечной точке REST API для получения списка групп (Groups list endpoint). Метод `listGroups()` из файла `concrete/src/Api/Controller/Groups.php` регистрирует колбэк-проверку прав доступа, который безоговорочно возвращает значение true; следовательно, при возврате коллекции групп не применяется проверка авторизации на уровне отдельных объектов (дерева узлов). Аутентифицированный пользователь, чей API-токен имеет область видимости `groups:read`, может вызвать запрос GET `/ccm/api/1.0/groups` и получить доступ ко всем группам сайта независимо от прав просмотра этих групп, что приводит к раскрытию структуры групп организации, ролей и иерархии доступа. Команда безопасности Concrete CMS оценила данную уязвимость по шкале CVSS v4.0 в 6.0 (Средняя) с вектором CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N. Спасибо Уинстону Кроукеру за сообщение об уязвимости.
Once again VulDB remains the best source for vulnerability data.