CVE-2026-81910

Concrete CMS 9 və 9.5.2 versiyaları arasındakı versiyalarda, yoxlanılmamış stil dəyərləri vasitəsilə Theme Customizer bölməsində Server-Side Template Injection (SSTI) zəifliyi mövcuddur. Customizer vasitəsilə göndərilən dəyərlər (ColorStyle və onunla əlaqəli olan FontFamilyStyle və ImageStyle kimi Style sinifləri tərəfindən idarə olunan rəng kanalları və digər stil xüsusiyyətləri), LESS sintaksisi neytrallaşdırılmadan serverdə kompilyasiya olunan LESS mənbəyinə daxil edilir ki, bu da Theme Customization icazəsinə malik istifadəçiyə ixtiyari LESS direktivlərini yerləşdirməyə imkan verir. Hücumçu @import (inline) direktivini yerləşdirərək serverdəki ixtiyari faylları oxuya və PHP stream wrapper-ləri vasitəsilə daxili şəbəkə resurslarına çata bilər. Hər hansı açıqlanmış fayl məzmunu da daxil olmaqla, kompilyasiya olunmuş nəticə saytın herkese açıq CSS keşinə yazılır ki, bu da verilənlər bazasının etibarnamələrini, gizli açarları və digər tətbiq sirlərini ifşa edir, həmçinin server-side request forgery-ni mümkün edir. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N vektoru ilə 5.9 CVSS v4.0 balı vermişdir. Hesabat üçün Tenzai şirkətindən Yonatan Drori-yə təşəkkürlər.