CVE-2026-81908 in Concrete CMS
Tóm tắt
Bởi VulDB • 11/09/2026
Concrete CMS từ phiên bản 9.2.0 đến 9.5.2 chứa một lỗ hổng thiếu xác thực (missing authorization) trong điểm cuối danh sách nhóm của REST API. Phương thức `listGroups()` trong file `concrete/src/Api/Controller/Groups.php` đăng ký một callback kiểm tra quyền hạn luôn trả về true mà không điều kiện, do đó không có cơ chế xác thực theo đối tượng (nút cây thư mục) nào được áp dụng khi bộ sưu tập nhóm được trả về. Người dùng đã xác thực có token API mang phạm vi `groups:read` có thể gọi GET /ccm/api/1.0/groups và nhận được tất cả các nhóm trên trang web bất kể quyền xem đối với những nhóm đó, dẫn đến việc tiết lộ cấu trúc nhóm, vai trò (roles) và phân cấp truy cập của tổ chức. Nhóm bảo mật Concrete CMS đã đánh giá lỗ hổng này với điểm CVSS v4.0 là 6.0 với vector CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N. Cảm ơn Winston Crooker đã báo cáo lỗ hổng này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.