CVE-2026-8139

Podatność w Concrete CMS poniżej wersji 9.5.2 umożliwia niezautoryzowanemu atakującemu wstrzyknięcie obiektów PHP poprzez wywołania unserialize() w komponentach Permission, Cache i Search. Atak wymaga umieszczenia złośliwego ładunku w bazie danych.

Concrete CMS w wersjach poniżej 9.5.2 jest podatny na wstrzykiwanie obiektów PHP przez funkcję unserialize() w komponentach Workflow, Form block i File/Set, które nie ograniczają dozwolonych klas. Nieuwierzytelniony atakujący może wywołać dowolną instancję obiektu PHP, jeśli złośliwy serializowany ładunek został umieszczony w bazie danych.

Concrete CMS w wersjach od 9.0 do 9.5.0 zawiera podatność na trwałe XSS w motywie Atomik poprzez nazwę strony. Złośliwy edytor może wstrzyknąć dowolny kod JavaScript, który wykona się w kontekście każdego uwierzytelnionego użytkownika odwiedzającego dotknięte strony konta.

Concrete CMS 9.5.0 i wcześniejsze jest podatne na IDOR oraz niewłaściwy poziom autoryzacji w oknie dialogowym Reorder dla asocjacji Express. Może to prowadzić do manipulacji stanem między encjami przy tylko do odczytu uprawnieniach na jednym wpisie. Aby być podatnym, strona musi używać Express i polegać na kolejności encji Express.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na atak CSRF przez Backend\File::approveVersion. Ofiara z uprawnieniami edit_file_contents może zostać zmuszona do opublikowania wybranej przez atakującego wcześniej przesłanej wersji pliku (downgrade lub aktywacja nieopublikowanej wersji).

Concrete CMS 9 przed wersją 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze approveVersion(). Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych działań na koncie administratora.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescanMultiple(). Atakujący może nakłonić administratora do wykonania niechcianych operacji na plikach.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescan(). Atakujący może nakłonić administratora do ponownego skanowania pliku.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file star(). Atakujący może nakłonić administratora do oznaczenia pliku gwiazdką.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie removeFavoriteFolder($id). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.