CVE-2026-3452

Yüksek

Açıklama

Concrete CMS 9.4.8 sürümünden önceki sürümler, columns parametresi aracılığıyla Express Entry List bloğuna depolanan PHP nesne enjeksiyonu yoluyla uzaktan kod çalıştırma açığına karşı savunmasızdır. Kimliği doğrulanmış bir yönetici, daha sonra sınıf kısıtlaması veya bütünlük denetimi olmaksızın unserialize() işlevine aktarılan blok yapılandırma alanlarında saldırgan tarafından kontrol edilen serileştirilmiş verileri depolayabilir. Concrete CMS güvenlik ekibi bu açığa CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H vektörüyle CVSS v.4.0 puanı olarak 8.9 vermiştir. Bildirim için ZUSO ART https://zuso.ai/ ekibinden YJK ( @YJK0805 https://hackerone.com/yjk0805 ) teşekkür ederiz.

ÖnemYüksek

CVSS7.2

İstismar olasılığı—

Ürün

Concretecms Concrete Cms

Yayın4 Mar 2026

İlk görülme4 Mar 2026

Zayıflık türüCWE-502Güvenilmeyen verinin seri durumdan çıkarılması

Nasıl düzeltilir

Güncelleyin

concretecms concrete_cms9.4.8 ya da sonraki bir sürüm
concrete5/concrete59.4.8 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
concretecms concrete_cms	v < 9.4.8	9.4.8
concrete5/concrete5Packagist	v < 9.4.8	9.4.8

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.