CVE-2026-8205
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Concrete CMS w wersji 9.5.0 i niższych jest podatny na obejście autoryzacji w bloku kalendarza. Funkcja action_get_events nie sprawdza uprawnienia canView na kalendarzu, co prowadzi do ujawnienia szczegółów ograniczonych wydarzeń.
Ocena ryzyka
Atakujący może uzyskać dostęp do szczegółów wydarzeń, które powinny być ukryte, co może naruszyć poufność danych.
Rekomendacja
Należy zaktualizować Concrete CMS do wersji powyżej 9.5.0 lub zastosować dostępną łatkę.
Oryginalny opis (angielski, źródło NVD)
Concrete CMS 9.5.0 and below is vulnerable to authorization bypass in the Calendar Block since action_get_events does not check canView on the calendar which results in restricted event details being disclosed. The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 6.3 with vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N. Thanks lalalala5678 for reporting.