CVE-2026-8204
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Concrete CMS w wersji 9.5.0 i niższych zawiera podatność na ominięcie autoryzacji w oknie dialogowym zdarzeń kalendarza. Pozwala to na ujawnienie danych między kalendarzami, gdzie publiczny blok kalendarza może być użyty jako punkt dostępu do prywatnych danych kalendarza.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do prywatnych danych kalendarza, co może prowadzić do wycieku poufnych informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Concrete CMS do wersji nowszej niż 9.5.0, która zawiera poprawkę tej podatności.
Oryginalny opis (angielski, źródło NVD)
Concrete CMS 9.5.0 and below is vulnerable to authorization Bypass in the Calendar Event Frontend Dialog which can allow cross-calendar data disclosure. A public calendar block can be used as a pivot point to access private calendar data. The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 6.3 with vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N. Thanks Winston Crooker for reporting.