CVE-2026-7886

Concrete CMS 9.5.0 ve altı sürümler, attachments[] parametresi üzerinden AddMessage/UpdateMessage fonksiyonlarında dosya izinlerinin atlatılmasına yol açabilen bir IDOR zafiyetine sahiptir. `AddMessage` ve `UpdateMessage` konuşma denetleyicileri, kullanıcı tarafından sağlanan dosya eki kimliklerini kabul eder ve her dosya için izin kontrolü (`canViewFile()`) yapmadan dosyaları doğrudan `$em->find(File::class, $attachmentID)` aracılığıyla yükler. Herhangi bir konuşmaya yazı yazabilen bir kullanıcı, CMS dosya yöneticisindeki herhangi bir dosyaya sıralı kimliği ile referans vererek dosya izin sistemini etkili bir şekilde atlayabilir. Concrete CMS güvenlik ekibi bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N vektörü ile 2.3 CVSS v.4.0 puanı vermiştir. Bildirimi yapan Tristan Mandani'ye teşekkürler. Eğer bir sitede gerçekten gizli dosyalar varsa, sahibi görüntüleme sırasında da izinlerin kontrol edilebilmesi için web kök dizininin dışında özel bir depolama konumu (https://documentation.concretecms.org/user-guide/editors-reference/dashboard/system-and-maintenance/files/file-storage-locations) ayarlamalıdır. Bu sayede, yetkili bir kullanıcı bir dosyayı eklese veya başka bir şekilde ona bağlantı verse bile, yetkisiz kullanıcılar dosyayı görüntüleyemeyecektir.