CVE-2026-8135

Concrete CMS 9.5.0 ve altı sürümler, ExpressEntryList blok denetleyicisinde meydana gelen güvensiz deserialization nedeniyle Uzaktan Kod Çalıştırma (Remote Code Execution) zafiyetine sahiptir. Bir alana blok ekleme yetkisine sahip kötü niyetli bir yönetici, REST API işlevselliğinden yararlanarak, normalde form POST istekleri üzerinden gelen kötü amaçlı girdileri kısıtlayan koruma mekanizmasını (_fromCIF === true) atlayabilir. REST API, istekleri json_decode() kullanarak ayrıştırdığı için "true" dizesi kesin bir PHP Boolean(true) olarak değerlendirilir. Bu atlama, saldırganın bloğun filterFields veritabanı sütununa kötü amaçlı bir serialize edilmiş yük (payload) enjekte etmesine olanak tanır. Yük, bloğun verileri bir yönetici tarafından görüntülendiğinde veya düzenlendiğinde yürütülerek sunucunun tamamen ele geçirilmesine (RCE) yol açar. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H vektörü ile 8.9 CVSS v.4.0 puanı vermiştir. Bildirim için Nguyễn Văn Thiện https://github.com/Thien225409 teşekkür ederiz.