CVE-2026-8134
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Concrete CMS w wersji 9.5.0 i niższych nie oczyszcza sekwencji path traversal w polu ptComposerFormLayoutSetControlCustomTemplate podczas zapisywania układów formularzy typu strony. Uwierzytelniony administrator z uprawnieniami do edycji formularzy może dołączyć dowolne pliki do odczytu na serwerze. W połączeniu z walidacją tylko rozszerzeń (pozwalającą na kod PHP w plikach .png) może to prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Atakujący administrator może uzyskać dostęp do wrażliwych plików i wykonać dowolny kod na serwerze, co może skutkować pełnym przejęciem systemu.
Rekomendacja
Należy zaktualizować Concrete CMS do wersji 9.5.1 lub nowszej.
Inne podatności w Concrete CMS
Zobacz wszystkie- CVE-2026-10721Wysokie
Podatność w Concrete CMS poniżej wersji 9.5.2 umożliwia niezautoryzowanemu atakującemu wstrzyknięcie obiektów PHP poprzez wywołania unserialize() w komponentach Permission, Cache i Search. Atak wymaga umieszczenia złośliwego ładunku w bazie danych.
- CVE-2026-7888Wysokie
Concrete CMS w wersjach poniżej 9.5.2 jest podatny na wstrzykiwanie obiektów PHP przez funkcję unserialize() w komponentach Workflow, Form block i File/Set, które nie ograniczają dozwolonych klas. Nieuwierzytelniony atakujący może wywołać dowolną instancję obiektu PHP, jeśli złośliwy serializowany ładunek został umieszczony w bazie danych.
- CVE-2026-8353Średnie
Concrete CMS w wersjach od 9.0 do 9.5.0 zawiera podatność na trwałe XSS w motywie Atomik poprzez nazwę strony. Złośliwy edytor może wstrzyknąć dowolny kod JavaScript, który wykona się w kontekście każdego uwierzytelnionego użytkownika odwiedzającego dotknięte strony konta.
- CVE-2026-8347Średnie
Concrete CMS 9.5.0 i wcześniejsze jest podatne na IDOR oraz niewłaściwy poziom autoryzacji w oknie dialogowym Reorder dla asocjacji Express. Może to prowadzić do manipulacji stanem między encjami przy tylko do odczytu uprawnieniach na jednym wpisie. Aby być podatnym, strona musi używać Express i polegać na kolejności encji Express.
- CVE-2026-8340Średnie
Concrete CMS w wersji 9.5.0 i niższych jest podatny na atak CSRF przez Backend\File::approveVersion. Ofiara z uprawnieniami edit_file_contents może zostać zmuszona do opublikowania wybranej przez atakującego wcześniej przesłanej wersji pliku (downgrade lub aktywacja nieopublikowanej wersji).
- CVE-2026-8435Średnie
Concrete CMS 9 przed wersją 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze approveVersion(). Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych działań na koncie administratora.
- CVE-2026-8434Wysokie
Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescanMultiple(). Atakujący może nakłonić administratora do wykonania niechcianych operacji na plikach.
- CVE-2026-8433Wysokie
Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescan(). Atakujący może nakłonić administratora do ponownego skanowania pliku.
- CVE-2026-8432Wysokie
Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file star(). Atakujący może nakłonić administratora do oznaczenia pliku gwiazdką.
- CVE-2026-8427Wysokie
Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie removeFavoriteFolder($id). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.
Oryginalny opis (angielski, źródło NVD)
Concrete CMS 9.5.0 and below fails to sanitize path traversal sequences in the ptComposerFormLayoutSetControlCustomTemplate field when saving page type composer form layouts. An authenticated rogue administrator with composer form editing rights can exploit this to include arbitrary readable files on the server. Combined with the file uploader's extension-only validation (which permits PHP code in files saved with image extensions like .png), this can result in authenticated remote code execution. The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 9.4 with vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H Thanks Yonatan Drori (Tenzai) for reporting.