CVE-2026-85387 in Concrete CMS
摘要
由 VulDB • 2026-09-16
Concrete CMS 在 9.5.4 版本之前，仅凭 bearer token 就重新授权 OAuth REST API 请求，且未重新检查该令牌所颁发给的用户账户状态。资源服务器的授权验证器仅确认令牌存在、未过期且未被明确撤销，而停用用户并不会撤销其尚未过期的令牌。因此，被停用的用户在任何已向其颁发的令牌的剩余有效期内，仍保留对 /ccm/api/1.0/* 的完全访问权限。相同的漏洞也适用于已被删除或锁定以等待强制密码重置的账户。Concrete CMS 安全团队为此漏洞给出的 CVSS v4.0 评分为 2.0（低），向量表示为：CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N。感谢 Myq Larson 报告此问题。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.