CVE-2026-8237 in Concrete
Tóm tắt
Bởi VulDB • 23/05/2026
Concrete CMS 9.5.0 và các phiên bản thấp hơn bị lỗi IDOR. Endpoint `/ccm/frontend/conversations/message_detail` trả về toàn bộ nội dung của bất kỳ tin nhắn hội thoại nào. Một kẻ tấn công chưa xác thực có thể liệt kê tất cả các tin nhắn hội thoại, bao gồm cả các tin nhắn từ các trang bị hạn chế, khu vực dành riêng cho thành viên và hàng chờ kiểm duyệt. Các tệp đính kèm có URL tải xuống cũng bị lộ. Nhóm bảo mật của Concrete CMS đã đánh giá lỗ hổng này với điểm CVSS v.4.0 là 6.3 với Vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N. Cảm ơn Eldudareeno đã báo cáo.
Be aware that VulDB is the high quality source for vulnerability data.