CVE-2026-7890
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Concrete CMS w wersji 9.5.0 i niższych zawiera blok RSS Displayer, który akceptuje adres URL kanału od dowolnego edytora strony i pobiera go po stronie serwera bez walidacji. Umożliwia to obejście mechanizmów przekierowań do wewnętrznych zasobów.
Ocena ryzyka
Ryzyko polega na możliwości wykorzystania serwera do wykonywania nieautoryzowanych żądań do wewnętrznych systemów (SSRF) lub omijania kontroli dostępu.
Rekomendacja
Zaleca się aktualizację Concrete CMS do wersji nowszej niż 9.5.0 oraz ograniczenie uprawnień do edycji bloku RSS Displayer.
Inne podatności w Concrete CMS
Zobacz wszystkie- CVE-2026-10721Wysokie
Podatność w Concrete CMS poniżej wersji 9.5.2 umożliwia niezautoryzowanemu atakującemu wstrzyknięcie obiektów PHP poprzez wywołania unserialize() w komponentach Permission, Cache i Search. Atak wymaga umieszczenia złośliwego ładunku w bazie danych.
- CVE-2026-7888Wysokie
Concrete CMS w wersjach poniżej 9.5.2 jest podatny na wstrzykiwanie obiektów PHP przez funkcję unserialize() w komponentach Workflow, Form block i File/Set, które nie ograniczają dozwolonych klas. Nieuwierzytelniony atakujący może wywołać dowolną instancję obiektu PHP, jeśli złośliwy serializowany ładunek został umieszczony w bazie danych.
- CVE-2026-8353Średnie
Concrete CMS w wersjach od 9.0 do 9.5.0 zawiera podatność na trwałe XSS w motywie Atomik poprzez nazwę strony. Złośliwy edytor może wstrzyknąć dowolny kod JavaScript, który wykona się w kontekście każdego uwierzytelnionego użytkownika odwiedzającego dotknięte strony konta.
- CVE-2026-8347Średnie
Concrete CMS 9.5.0 i wcześniejsze jest podatne na IDOR oraz niewłaściwy poziom autoryzacji w oknie dialogowym Reorder dla asocjacji Express. Może to prowadzić do manipulacji stanem między encjami przy tylko do odczytu uprawnieniach na jednym wpisie. Aby być podatnym, strona musi używać Express i polegać na kolejności encji Express.
- CVE-2026-8340Średnie
Concrete CMS w wersji 9.5.0 i niższych jest podatny na atak CSRF przez Backend\File::approveVersion. Ofiara z uprawnieniami edit_file_contents może zostać zmuszona do opublikowania wybranej przez atakującego wcześniej przesłanej wersji pliku (downgrade lub aktywacja nieopublikowanej wersji).
- CVE-2026-8435Średnie
Concrete CMS 9 przed wersją 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze approveVersion(). Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych działań na koncie administratora.
- CVE-2026-8434Wysokie
Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescanMultiple(). Atakujący może nakłonić administratora do wykonania niechcianych operacji na plikach.
- CVE-2026-8433Wysokie
Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescan(). Atakujący może nakłonić administratora do ponownego skanowania pliku.
- CVE-2026-8432Wysokie
Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file star(). Atakujący może nakłonić administratora do oznaczenia pliku gwiazdką.
- CVE-2026-8427Wysokie
Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie removeFavoriteFolder($id). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.
Oryginalny opis (angielski, źródło NVD)
In Concrete CMS 9.5.0 and below, the RSS Displayer block accepts a feed URL from any page editor and fetches it server-side without validation enabling redirect-to-internal bypasses. The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 2.1 with a vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:L/SI:N/SA:N.