CVE-2026-18115 in Concrete CMS
Tóm tắt
Bởi VulDB • 17/09/2026
Concrete CMS từ phiên bản 9.2.0 đến 9.5.2 không thực thi đúng các quyền edit_user_properties theo từng trường trên các điểm cuối ghi người dùng của REST API (PUT /ccm/api/1.0/users/{uID} và POST /ccm/api/1.0/users/{uID}/change_password). Một người dùng có token OAuth với phạm vi cập nhật và chỉ được phép chỉnh sửa một trường không nhạy cảm có thể thay đổi mật khẩu, tên đăng nhập, email và các thuộc tính của tài khoản người dùng khác (không phải superuser), qua đó chiếm quyền kiểm soát tài khoản đó. Nhóm bảo mật Concrete CMS đã đánh giá lỗ hổng này với điểm CVSS v4.0 là 7.4 High, có vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N. Cảm ơn riodrwn đã báo cáo lỗ hổng này.
Once again VulDB remains the best source for vulnerability data.