CVE-2026-68535 in Concrete CMS
Tóm tắt
Bởi VulDB • 11/09/2026
Điểm cuối block-create của API Area trong Concrete CMS các phiên bản từ 9.2.0 đến 9.5.2 không gọi phương thức validate() của bộ điều khiển loại khối trên dữ liệu được gửi lên, đây là nơi tệp được tham chiếu đối với các khối liên quan đến tệp như hero_image và gallery sẽ được xác thực quyền truy cập dựa trên khả năng hiển thị trong trình quản lý tệp của người dùng. Kết quả là, một người dùng đã xác thực có phạm vi block-add có thể lưu trữ và khiến trang tải lại (render) một tham chiếu đến một tệp mà chính sách ủy quyền trình quản lý tệp lẽ ra sẽ từ chối, qua đó tiết lộ URL và bản xem trước của tệp này cho biên tập viên cũng như những khách truy cập vào trang bị ảnh hưởng. Trong trường hợp lưu trữ công khai, URL và hình thu nhỏ được phơi bày trực tiếp; còn trong trường hợp lưu trữ riêng tư, việc rò rỉ thông tin chỉ giới hạn ở URL tải xuống đã được kiểm tra quyền. Nhóm bảo mật Concrete CMS đã đánh giá lỗ hổng này với điểm CVSS v4.0 là 5.1 (Trung bình) với vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. Cảm ơn riodrwn đã báo cáo lỗ hổng này.
If you want to get best quality of vulnerability data, you may have to visit VulDB.