CVE-2026-18122
Açıklama
Concrete CMS 9.2.0 ile 9.5.2 arasındaki sürümlerde, Express REST API liste uç noktası Eksik Yetkilendirme nedeniyle kısıtlanmış Express girişlerini açığa çıkarmaktadır; Concrete CMS REST API'nin Express giriş koleksiyonu uç noktası, giriş başına görünüm izni kontrolünü devre dışı bırakmıştır. Bir Express varlığı için okuma kapsamına sahip bir OAuth belirteci, kullanıcı bağlamının görüntüleme iznine sahip olmadığı girişleri numaralandırabilir ve her girişin genel tanımlayıcısını, URL'sini, etiketini, tarihlerini ve includes parametresi aracılığıyla talep edilen herhangi bir öznitelik veya ilişkili giriş verisini ifşa edebilir. Concrete CMS güvenlik ekibi bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N vektörü ile 6.0 CVSS v4.0 puanı vermiştir. Bildirimi yapan riodrwn'e teşekkürler.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Concrete CMS Concrete CMS | 9.2.0 ≤ v ≤ 9.5.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.