CVE-2026-7887

Orta

Açıklama

Concrete CMS 9.5.0 ve altı sürümlerde, OAuth 2.0 Authorization-Code Handler hesap durumunu atlamaktadır. uIsActive=0 olan bir kullanıcı (askıya alınmış, yasaklanmış veya ilişiği kesilmiş çalışan), OAuth üzerinden kimlik doğrulamaya devam edebilir ve geçerli API belirteçleri alabilir. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N vektörü ile 2.3 CVSS v.4.0 puanı vermiştir. Bildirim için 0x4c616e'ye teşekkürler.

ÖnemOrta

CVSS6.4

İstismar olasılığı—

Ürün

Concretecms Concrete Cms

Yayın21 May 2026

İlk görülme21 May 2026

Zayıflık türüCWE-1287CWE-1287

Nasıl düzeltilir

Güncelleyin

concretecms concrete_cms9.5.1 ya da sonraki bir sürüm
concrete5/concrete59.5.1 ya da sonraki bir sürüm

Üretici duyuruları

documentation.concretecms.org/9-x/developers/introduction/version-history/951-release-notes

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
concretecms concrete_cms	v < 9.5.1	9.5.1
concrete5/concrete5Packagist	v < 9.5.1	9.5.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.