CVE-2026-18120

9.5.3 sürümünden önceki Concrete CMS, normal kontrol paneli ve CSV dışa aktarma akışı tarafından uygulanan canViewExpressEntries() izin kontrolünü çağırmadan giriş sonucu JSON verisini döndüren eski bir Express giriş arama uç noktasını açığa çıkarmaktaydı. Bir Express varlık tanımlayıcısını bilen veya keşfeden kimliği doğrulanmamış bir ziyaretçi, söz konusu varlığın giriş arama sonuçlarını numaralandırarak ayrıcalıklı kullanıcılara kısıtlanması amaçlanan öznitelik değerlerini ifşa edebilirdi. Girişe özel izinleri desteklemeyen Express varlıklar için (yani supportsEntrySpecificPermissions() false döndürdüğünde), giriş başına izin filtreleme ek olarak EntryList::ignorePermissions() aracılığıyla devre dışı bırakılmaktaydı. Concrete CMS güvenlik ekibi bu zafiyete CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N vektörü ile 6.3 CVSS v4.0 puanı vermiştir. Bildirimi için Daniel Powell'a teşekkürler.