CVE-2026-68529

Concrete CMS 9.0.0 ile 9.5.2 sürümleri arasında, Express girişleri advanced-search dashboard eyleminde bir yetkilendirme kontrolü eksikti. DashboardSelectableExpressEntryListTrait içerisindeki advanced_search() metodu, kullanıcı tarafından sağlanan bir varlık kimliği üzerinden doğrudan bir Express varlığını çözümlüyor ve kardeş results() eyleminin uyguladığı varlık başına izin kontrolü olan canViewExpressEntries() metodunu çağırmadan bu varlığın girişlerini görüntülüyordu. Tek bir Express varlığı üzerinde view_express_entries yetkisine sahip kimliği doğrulanmış bir dashboard kullanıcısı, ilgili varlığın kimliği ile advanced-search eylemini talep ederek gizli öznitelik değerleri dahil olmak üzere herhangi bir diğer varlığın girişlerini okuyabiliyordu; bu durum, Express'in uygulamak üzere tasarlandığı varlık bazlı izin sınırlarını aşarak form gönderimlerinin ve CRM tarzı kayıtların ifşa edilmesine yol açıyordu. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N vektörü ile 2.1 CVSS v4.0 puanı vermiştir. Bildirimi için Winston Crooker'a teşekkürler.