CVE-2026-18110

Concrete CMS 9 (9.0.0 ile 9.5.2 arası), "Kullanıcı Olarak Önizle" paneline ve diğer kullanıcı seçici bileşenlerine destek veren kullanıcı seçici otomatik tamamlama uç noktasında (/ccm/system/user/autocomplete) bir yetkilendirme kontrolü gerçekleştirmemektedir. Uç nokta, çağıran kişinin kimliğine veya izinlerine değil, seçicinin görüntüleme seçeneklerine bağlı olan yalnızca CSRF tarzı bir erişim belirtecini doğrulamaktadır ve bu belirteç, seçici herhangi bir yetkilendirme kontrolü olmadan oluşturulduğu için anonim ziyaretçilere verilmektedir. Boş bir sorgu tümünü eşleştirme filtresine dönüştüğünden, kimliği doğrulanmamış bir saldırgan boş bir arama gönderip sonuçları sayfalayarak her bir arka uç hesabını listeleyebilir; böylece süper yönetici (kullanıcı kimliği 1) dahil olmak üzere tüm yönetici kullanıcıların dahili kullanıcı kimliğini, kullanıcı adını ve e-posta adresini ifşa edebilir. Herhangi bir parola özeti veya oturum materyali ifşa edilmemektedir. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N vektörü ile 8.7 CVSS v4.0 puanı vermiştir. Bildirimleri için thirtythree ve YesWeHack'e teşekkürler.