CVE-2026-68531

9.5.3 öncesindeki Concrete CMS 9, dosya yöneticisi, dosya klasörleri ve sayfa listesi tarafından kullanılan anahtar kelime arama filtrelerinde SQL LIKE joker karakterlerini temizlemiyordu; bu durum, editör düzeyinde veya daha yüksek ayrıcalıklara sahip kimliği doğrulanmış bir kullanıcının çok sayıda tek karakterli joker karakter içeren özel olarak hazırlanmış bir arama göndermesine izin veriyordu. Anahtar kelime girdisi, joker karakter meta karakterleri etkisiz hale getirilmeden LIKE yan tümcesine yerleştirildiği için kısa bir istek, veri tabanını her satırı değerlendirmeye ve tam tablo taraması yapmaya zorlayabiliyordu; tekrarlanan veya yoğun joker karakter içeren aramalar ise büyük kurulumlarda diğer kullanıcılar için yanıt verme süresini düşürerek veri tabanı CPU ve G/Ç değerlerinin yüksek kalmasına neden olabiliyordu. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N vektörü ile 2.1 CVSS v4.0 puanı vermiştir. Bildirimde bulunduğu için noivan'a teşekkürler.