CVE-2026-68527
Açıklama
Concrete CMS 8.3.0 ile 9.5.2 arasındaki sürümler, Takvim etkinlik düzenleme iletişim kutusunda (concrete/controllers/dialog/event/edit.php) bir kimlik doğrulama atlatma zafiyetine sahiptir. İletişim kutusu, izinleri hedef etkinlik örneğine sahip olan takvim yerine istekte sağlanan takvim tanımlayıcısına göre kontrol etmektedir. Tek bir takvimde "Etkinlik Ekle" iznine sahip bir kullanıcı, erişim yetkisi olmayan takvimlerdeki etkinlikleri okuyabilir ve üzerine yazabilir; ayrıca bir etkinliğin orijinal yerel örneğini silebilir. Enjekte edilen sürümün canlı takvime yayınlanarak önceden onaylanmış sürümün alt seviyeye düşürülmesi için ek olarak aktörün approve_calendar_event iş akışı haklarına veya otomatik onaylayan bir iş akışına sahip olması gerekmektedir. Concrete CMS Güvenlik Ekibi buna CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N CVSS 4.0 vektörü ile 5.9 puan vermiştir. Bildirimi için Winston Crooker'a teşekkürler.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Concrete CMS Concrete CMS | 8.3.0 ≤ v ≤ 9.5.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.