CVE-2026-81921
Təsvir
Concrete CMS 8.5.3-dən 9.5.2-yə qədər olan versiyalarda OAuth 2.0 refresh-token grant funksiyası dəyişdirilməmiş upstream League grant vasitəsilə aktiv edilmişdir ki, bu da əlaqəli hesabın aktivlik statusunu yenidən yoxlamadan etibarlı refresh token əsasında yeni access token-lər təmin edirdi. Beləliklə, aktiv olduğu müddətdə refresh token əldə etmiş istifadəçi deaktiv edildikdən və ya dayandırıldıqdan (uIsActive=0) sonra da etibarlı access token-lər yaratmağa davam edə bilirdi, buna görə də hesabın deaktiv edilməsi onun API girişini ləğv etmirdi. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:L/SC:L/SI:L/SA:L vektoru ilə 2.3 CVSS v4.0 balı vermişdir. Hesabat üçün sh4d0byss-ə təşəkkürlər.
Necə düzəltmək olar
- concretecms concrete_cms9.5.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| concretecms concrete_cms | 8.5.3 ≤ v < 9.5.3 | 9.5.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.