CVE-2026-7881

ŚrednieCVSS 4.3

Opublikowano: 21/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR w bloku Express Entry Detail za pomocą parametru exEntryID. To IDOR prowadzi do nieautoryzowanego dostępu do wszystkich zgłoszeń formularzy Express.

Ocena ryzyka

Nieuwierzytelniony atakujący może odczytać wszystkie zgłoszenia formularzy Express, co prowadzi do wycieku danych.

Rekomendacja

Zaktualizuj Concrete CMS do wersji powyżej 9.5.0 lub zastosuj dostępną łatkę.

Oryginalny opis (angielski, źródło NVD)

Concrete CMS 9.5.0 and below is subject to Insecure Direct Object Reference (IDOR) in the Express Entry Detail block via the exEntryID parameter. This IDOR leads to unauthorized access to all Express form submissions. The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 6.3 with vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N. Thanks Tristan Madani for reporting.