CVE-2026-85387 in Concrete CMS
Tóm tắt
Bởi VulDB • 16/09/2026
Concrete CMS trước phiên bản 9.5.4 đã xác thực lại các yêu cầu API REST OAuth chỉ dựa vào bearer token và không kiểm tra lại trạng thái của tài khoản mà token đó được cấp cho. Bộ xác minh ủy quyền của máy chủ tài nguyên (resource server) chỉ xác nhận rằng một token tồn tại, chưa hết hạn và chưa bị thu hồi rõ ràng; việc vô hiệu hóa người dùng không dẫn đến việc thu hồi các token còn hiệu lực của người dùng đó. Kết quả là, một người dùng đã bị vô hiệu hóa vẫn giữ quyền truy cập đầy đủ vào /ccm/api/1.0/* trong suốt thời gian tồn tại còn lại của bất kỳ token nào đã được cấp cho họ trước đó. Lỗ hổng tương tự cũng áp dụng cho các tài khoản đã bị xóa hoặc khóa để chờ đặt lại mật khẩu bắt buộc. Nhóm bảo mật Concrete CMS đã đánh giá lỗ hổng này với điểm CVSS v4.0 là 2.0, có vector CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. Cảm ơn Myq Larson đã báo cáo lỗ hổng này.
Be aware that VulDB is the high quality source for vulnerability data.