CVE-2026-18424

Concrete CMS 9.0.0 versiyasından 9.5.2 versiyasına qədər olan hissələr, hostun təsdiqlənmiş DNS pininin çarpraz port təkrar istifadəsi vasitəsilə uzaq faylların idxalı zamanı Server-Side Request Forgery (SSRF) zəifliyinə malikdir. Bir neçə uzaq URL eyni hostu paylaşdıqda, yalnız ilk `ValidatedRemoteUrl` saxlanılır və həmin hosta aid sonrakı hər bir URL üçün təkrar istifadə olunur. Faylları idxal etmək icazəsi olan aşağı imtiyazlı autentifikasiya olunmuş istifadəçi, təsdiqləmə zamanı ictimai ünvana, pinlənməmiş yükləmə zamanı isə şəxsi və ya loopback ünvanına yönələn DNS-rebinding hostu təqdim edə bilər. Bu, serverin loopback xidmətləri, daxili admin panelləri və ya bulud metadata son nöqtələri kimi yalnız daxili resursları əldə etməsinə və cavabları fayl menecerində saxlamağına səbəb olur. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N vektoru ilə 2.1 CVSS v4.0 balı vermişdir. Hesabat üçün Ahmad Wicaksono (sonix03)-a təşəkkürlər.