CVE-2026-18122
Təsvir
Concrete CMS 9.2.0-dan 9.5.2-yə qədər versiyalarda Express REST API siyahı son nöqtəsi (endpoint), Avtorizasiyanın Olmaması səbəbindən məhdudlaşdırılmış Express yazılarını ifşa edir; Concrete CMS REST API-nin Express yazı kolleksiyası son nöqtəsi hər bir yazı üçün baxış icazəsi yoxlamasını deaktiv etmişdir. Express obyekti üçün oxuma əhatəli (read scope) olan OAuth tokeni, istifadəçi kontekstinin baxmaq üçün icazəsinin olmadığı yazıları sadalay bilər və hər bir yazının ictimai identifikatorunu, URL-ni, etiketini, tarixləri və "includes" parametri vasitəsilə tələb olunan hər hansı atributu və ya əlaqəli yazı məlumatlarını ifşa edə bilər. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N vektoru ilə 6.0 CVSS v4.0 balı vermişdir. Hesabat verdiyi üçün riodrwn-ə təşəkkürlər.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Concrete CMS Concrete CMS | 9.2.0 ≤ v ≤ 9.5.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.