CVE-2026-7886

Concrete CMS 9.5.0 və daha aşağı versiyaları, attachments[] parametri vasitəsilə AddMessage/UpdateMessage funksiyalarında fayl icazələrinin yan keçilməsinə səbəb ola bilən IDOR boşluğuna malikdir. `AddMessage` və `UpdateMessage` söhbət kontrollerləri istifadəçi tərəfindən təqdim edilən fayl qoşma ID-lərini qəbul edir və hər bir fayl üçün icazələri (`canViewFile()`) yoxlamadan faylları birbaşa `$em->find(File::class, $attachmentID)` vasitəsilə yükləyir. Hər hansı bir söhbətdə paylaşım edə bilən istifadəçi, CMS fayl menecerindəki istənilən fayla onun ardıcıl ID-si ilə istinad edərək fayl icazələri sistemini effektiv şəkildə yan keçə bilər. Concrete CMS təhlükəsizlik komandası bu boşluğa CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N vektoru ilə 2.3 CVSS v.4.0 balı vermişdir. Hesabat üçün Tristan Mandaniyə təşəkkürlər. Əgər saytda həqiqətən məxfi fayllar varsa, sahib baxış zamanı da icazələrin yoxlanılması üçün veb kök qovluğundan kənarda şəxsi saxlama yeri (https://documentation.concretecms.org/user-guide/editors-reference/dashboard/system-and-maintenance/files/file-storage-locations) təyin etməlidir. Beləliklə, səlahiyyətli istifadəçi faylı əlavə etsə və ya ona link versə belə, səlahiyyətsiz istifadəçilər faylı görə bilməyəcəklər.