CVE-2026-8135
WysokieStreszczenie
Concrete CMS w wersji 9.5.0 i wcześniejszych jest podatny na zdalne wykonanie kodu z powodu niebezpiecznej deserializacji w kontrolerze bloku ExpressEntryList. Złośliwy administrator może obejść mechanizm ochrony, co pozwala na wstrzyknięcie złośliwego ładunku do bazy danych.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad serwerem, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji. Wykorzystanie tej podatności może prowadzić do utraty danych i naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację Concrete CMS do wersji 9.5.1 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy ograniczyć uprawnienia administratorów oraz monitorować dostęp do REST API.
Oryginalny opis (angielski, źródło NVD)
Concrete CMS 9.5.0 and below is vulnerable to Remote Code Execution due to insecure deserialization occurring in the ExpressEntryList block controller. An rogue administrator with privileges to add blocks to an area can bypass the intended protection mechanism (_fromCIF === true), which normally restricts malicious inputs over form POST requests, by leveraging the REST API functionality. Because the REST API parses requests using json_decode(), the string "true" is evaluated as a strict PHP Boolean(true). This bypass allows the attacker to inject a malicious serialized payload into the block's filterFields database column. The payload will subsequently be executed when the block's data is viewed or edited by an administrator leading to complete server takeover (RCE).The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 8.9 with a vector of CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. Thanks Nguyễn Văn Thiện https://github.com/Thien225409