CVE-2026-8327
Açıklama
9.5.0 ve altı sürümlerdeki Concrete CMS, yeniden yetkilendirme olmadan şifre değiştirme ve oturum sertleştirme atlatma açıklarına sahiptir. Kullanıcı profili düzenleme denetleyicisi, tüm ham POST dizisini alan beyaz listeye alma işlemi yapmadan UserInfo::update() fonksiyonuna iletmektedir; bu durum mevcut şifreye ihtiyaç duymadan şifre değiştirilmesine ve ayrıca kayıtlı kullanıcıların, oturum çalmayı tespit etmek için tasarlanan oturum doğrulayıcıdaki kullanıcı başına IP sabitlemeyi devre dışı bırakabilmelerine neden olmaktadır. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N vektörü ile 5.3 CVSS v.4.0 puanı vermiştir. Bildirim için 0x4c616e'ye teşekkürler.
Nasıl düzeltilir
- concretecms concrete_cms9.5.1 ya da sonraki bir sürüm
- concrete5/concrete59.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | v < 9.5.1 | 9.5.1 |
| concrete5/concrete5Packagist | v < 9.5.1 | 9.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.