CVE-2026-18424

Concrete CMS 9.0.0 ile 9.5.2 sürümleri, bir ana bilgisayarın doğrulanmış DNS pininin portlar arası yeniden kullanımı yoluyla gerçekleşen uzak dosya içe aktarma tabanlı Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyetine sahiptir. Birden fazla uzak URL aynı ana bilgisayarı paylaştığında, yalnızca ilk `ValidatedRemoteUrl` tutulur ve o ana bilgisayara sahip sonraki her URL için yeniden kullanılır. Dosyaları içe aktarma yetkisine sahip düşük ayrıcalıklı kimliği doğrulanmış bir kullanıcı, doğrulama sırasında genel bir adrese, pinsiz indirme sırasında ise özel veya loopback adresine çözümlenen bir DNS-rebinding ana bilgisayarı sağlayabilir; bu durum sunucunun loopback servisleri, dahili yönetim panelleri veya bulut meta veri uç noktaları gibi yalnızca dahili kaynakları getirmesine ve yanıtları dosya yöneticisine kaydetmesine neden olur. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N vektörü ile 2.1 CVSS v4.0 puanı vermiştir. Bildirimi yapan Ahmad Wicaksono (sonix03)'ye teşekkürler.