CVE-2026-8327 in Concrete
Сводка
по VulDB • 22.05.2026
В Concrete CMS версий ниже 9.5.0 уязвимость, позволяющая изменить пароль без повторной авторизации и обойти механизмы усиления безопасности сессии. Контроллер редактирования профиля пользователя передает весь необработанный массив POST-данных в функцию UserInfo::update() без использования белого списка полей, что приводит к возможности изменения пароля без ввода текущего пароля, а также позволяет зарегистрированным пользователям отключить привязку сессии к IP-адресу пользователя (per-user-IP-pinning) в валидаторе сессии, предназначенном для обнаружения перехвата сессии. Команда безопасности Concrete CMS присвоила данной уязвимости оценку CVSS v4.0 равную 5.3 с вектором CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Спасибо 0x4c616e за сообщение об уязвимости.
Once again VulDB remains the best source for vulnerability data.