CVE-2026-6826
Açıklama
Concrete CMS 9.5.0 ve altı sürümler, usage denetleyicisindeki eksik izin kontrolü nedeniyle kimlik doğrulaması yapılmamış dosya kullanım ifşasına karşı savunmasızdır. Herhangi bir kimlik doğrulaması yapmamış ziyaretçi, herhangi bir dosya kimliği ile /ccm/system/dialogs/file/usage/{fID} adresine istek göndererek; sayfa kimlikleri, tutamaçlar ve tam URL'ler dahil olmak üzere o dosyaya referans veren tüm sayfaların listesini alabilir. Buna, normalde izinlerle kısıtlanmış olan sayfalar da dahildir. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N vektörü ile 6.9 CVSS v.4.0 puanı vermiştir. Bildirimi için Eldudareeno'ya teşekkürler.
Nasıl düzeltilir
- concretecms concrete_cms9.5.1 ya da sonraki bir sürüm
- concrete5/concrete59.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | v < 9.5.1 | 9.5.1 |
| concrete5/concrete5Packagist | v < 9.5.1 | 9.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.