CVE-2026-68531

Concrete CMS 9-un 9.5.3 versiyasından əvvəlki versiyalarında fayl meneceri, fayl qovluqları və səhifə siyahısında istifadə olunan açar söz axtarış filtrlərində SQL LIKE joker simvolları təmizlənmirdi. Bu, redaktor səviyyəli və ya daha yüksək imtiyazlara malik autentifikasiya olunmuş istifadəçiyə çox sayda təksimvollarlı joker simvollar ehtiva edən xüsusi hazırlanmış axtarış sorğusu göndərməyə imkan verir. Açar söz girişi onun joker meta-simvolları neytrallaşdırılmadan LIKE bəndinə yerləşdirildiyi üçün, qısa bir sorğu verilənlər bazasını hər bir sətiri qiymətləndirməyə və tam cədvəl skanlamasına məcbur edə bilərdi. Təkrarlanan və ya joker simvollarla zəngin axtarışlar isə böyük quraşdırmalarda verilənlər bazasının CPU və I/O yükliliyini artıraraq digər istifadəçilər üçün cavabvermə sürətini aşağı sala bilərdi. Concrete CMS təhlükəsizlik komandası bu boşluğa CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N vektoru ilə 2.1 CVSS v4.0 balı vermişdir. Hesabat üçün noivan-a təşəkkürlər.