CVE-2026-81910

Concrete CMS 9 ile 9.5.2 arası sürümler, Theme Customizer bileşeninde doğrulanmamış stil değerleri üzerinden Sunucu Taraflı Şablon Enjeksiyonuna (SSTI) karşı savunmasızdır. Özelleştirici aracılığıyla gönderilen değerler (ColorStyle ve FontFamilyStyle ile ImageStyle gibi kardeş Stil sınıfları tarafından işlenen renk kanalları ve diğer stil özellikleri), LESS sözdizimi etkisiz hale getirilmeden sunucuda derlenen LESS kaynağına eklenmektedir; bu durum, Tema Özelleştirme yetkisine sahip bir kullanıcının rastgele LESS direktifleri enjekte etmesine olanak tanır. Bir saldırgan, @import (inline) direktifi enjekte ederek sunucudaki rastgele dosyaları okuyabilir ve PHP akış sarmalayıcıları (stream wrappers) aracılığıyla dahili ağ kaynaklarına erişebilir. İfşa edilen dosya içerikleri de dahil olmak üzere derlenen çıktı, sitenin herkese açık olarak sunulan CSS önbelleğine yazılır; bu da veritabanı kimlik bilgilerini, özel anahtarları ve diğer uygulama sırlarını açığa çıkararak sunucu taraflı istek sahteciliğine (SSRF) imkan tanır. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N vektörü ile 5.9 CVSS v4.0 puanı vermiştir. Bildirimde bulunduğu için Tenzai'den Yonatan Drori'ye teşekkürler.