CVE-2026-8350
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W Concrete CMS 9.5.0 i starszych brak autoryzacji w bulk_user_assignment.php umożliwia każdemu uwierzytelnionemu użytkownikowi dodawanie dowolnych adresów email do dowolnych grup oraz usuwanie administratorów, co prowadzi do eskalacji uprawnień.
Ocena ryzyka
Atakujący może uzyskać uprawnienia administracyjne i przejąć kontrolę nad całą instalacją CMS.
Rekomendacja
Zaktualizuj Concrete CMS do wersji powyżej 9.5.0.
Inne podatności w Concrete CMS
Zobacz wszystkie- CVE-2026-10721Wysokie
Podatność w Concrete CMS poniżej wersji 9.5.2 umożliwia niezautoryzowanemu atakującemu wstrzyknięcie obiektów PHP poprzez wywołania unserialize() w komponentach Permission, Cache i Search. Atak wymaga umieszczenia złośliwego ładunku w bazie danych.
- CVE-2026-7888Wysokie
Concrete CMS w wersjach poniżej 9.5.2 jest podatny na wstrzykiwanie obiektów PHP przez funkcję unserialize() w komponentach Workflow, Form block i File/Set, które nie ograniczają dozwolonych klas. Nieuwierzytelniony atakujący może wywołać dowolną instancję obiektu PHP, jeśli złośliwy serializowany ładunek został umieszczony w bazie danych.
- CVE-2026-8353Średnie
Concrete CMS w wersjach od 9.0 do 9.5.0 zawiera podatność na trwałe XSS w motywie Atomik poprzez nazwę strony. Złośliwy edytor może wstrzyknąć dowolny kod JavaScript, który wykona się w kontekście każdego uwierzytelnionego użytkownika odwiedzającego dotknięte strony konta.
- CVE-2026-8347Średnie
Concrete CMS 9.5.0 i wcześniejsze jest podatne na IDOR oraz niewłaściwy poziom autoryzacji w oknie dialogowym Reorder dla asocjacji Express. Może to prowadzić do manipulacji stanem między encjami przy tylko do odczytu uprawnieniach na jednym wpisie. Aby być podatnym, strona musi używać Express i polegać na kolejności encji Express.
- CVE-2026-8340Średnie
Concrete CMS w wersji 9.5.0 i niższych jest podatny na atak CSRF przez Backend\File::approveVersion. Ofiara z uprawnieniami edit_file_contents może zostać zmuszona do opublikowania wybranej przez atakującego wcześniej przesłanej wersji pliku (downgrade lub aktywacja nieopublikowanej wersji).
- CVE-2026-8435Średnie
Concrete CMS 9 przed wersją 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze approveVersion(). Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych działań na koncie administratora.
- CVE-2026-8434Wysokie
Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescanMultiple(). Atakujący może nakłonić administratora do wykonania niechcianych operacji na plikach.
- CVE-2026-8433Wysokie
Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescan(). Atakujący może nakłonić administratora do ponownego skanowania pliku.
- CVE-2026-8432Wysokie
Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file star(). Atakujący może nakłonić administratora do oznaczenia pliku gwiazdką.
- CVE-2026-8427Wysokie
Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie removeFavoriteFolder($id). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.
Oryginalny opis (angielski, źródło NVD)
Concrete CMS 9.5.0 and below is vulnerable to missing authorization in the bulk_user_assignment.php which can lead to privilege escalation to Administrative Group. Any authenticated user with access to the bulk user assignment dashboard page can add any user email to any group and can remove legitimate admins. The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 7.5 with vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Thanks Vincent55 for reporting.