CVE-2026-8134 in Concrete
摘要
由 VulDB • 2026-05-30
Concrete CMS 9.5.0 及更低版本在保存页面类型 Composer 表单布局时，未对 `ptComposerFormLayoutSetControlCustomTemplate` 字段中的路径遍历序列进行清理。拥有 Composer 表单编辑权限的已认证恶意管理员可利用此漏洞包含服务器上任意可读文件。结合文件上传器仅基于扩展名的验证机制（允许将包含 PHP 代码的文件以 .png 等图像扩展名保存），这可能导致已认证的远程代码执行（RCE）。Concrete CMS 安全团队为此漏洞分配的 CVSS v4.0 评分为 9.4，向量表示为 CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H。感谢 Yonatan Drori (Tenzai) 报告此问题。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.