CVE-2026-18115

Concrete CMS 9.2.0-dan 9.5.2-yə qədər olan versiyalarda REST API istifadəçi yazma son nöqtələrində (PUT /ccm/api/1.0/users/{uID} və POST /ccm/api/1.0/users/{uID}/change_password) hər bir sahə üçün edit_user_properties icazələri tətbiq edilməmişdir. Yeniləmə səlahiyyətli OAuth tokeni olan və yalnız bir həssas olmayan sahəni redaktə etmək icazəsi olan istifadəçi, superistifadəçi olmayan digər bir istifadəçinin şifrəsini, istifadəçi adını, e-poçtunu və atributlarını dəyişərək həmin hesabı ələ keçirə bilərdi. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N vektoru ilə 7.4 CVSS v4.0 balı vermişdir. Bildirdiyi üçün riodrwn-ə təşəkkürlər.