CVE-2026-68529

Concrete CMS 9.0.0-dan 9.5.2-yə qədər olan versiyalarda Express entries advanced-search idarəetmə paneli hərəkətində avtorizasiya yoxlaması çatışmırdı. DashboardSelectableExpressEntryListTrait daxilindəki advanced_search() metodu istifadəçi tərəfindən təmin edilən entity ID vasitəsilə birbaşa Express obyektini müəyyən edir və nəticələr üçün tətbiq olunan canViewExpressEntries() icazə yoxlamasını çağırmadan həmin obyektin yazılarını göstərirdi. Tək bir Express obyekti üzrə view_express_entries icazəsinə malik autentifikasiya olunmuş idarəetmə paneli istifadəçisi, həmin obyektin ID-si ilə advanced-search hərəkətini sorğulayaraq digər bütün obyektlərin yazılarını, o cümlədən gizli atribut dəyərlərini oxuya bilərdi. Bu, Express-in təmin etməli olduğu obyekt bazlı icazə sərhədlərini aşaraq forma göndərişlərinin və CRM tipli qeydlərin ifşa olunmasına səbəb olurdu. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N vektoru ilə 2.1 CVSS v4.0 balı vermişdir. Hesabat üçün Winston Crooker-ə təşəkkürlər.