CVE-2026-95653

WysokieCVSS 7.5

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 26/09/2026(UTC)Przetłumaczono: 22/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.57%

Percentyl 45 - wyżej niż 45% wszystkich znanych CVE

Streszczenie

Concrete CMS Community Store przed wersją 2.7.8 generuje tokeny pobierania produktów cyfrowych na podstawie znaczników czasu utworzenia zamówienia zamiast losowych wartości, co czyni je przewidywalnymi. Nieuwierzytelnieni atakujący mogą wyliczać kolejne identyfikatory zamówień i plików, aby obliczyć ważne tokeny pobierania i uzyskać dostęp do dóbr cyfrowych zakupionych przez innych klientów.

Ocena ryzyka

Nieuwierzytelniony atakujący może pobrać produkty cyfrowe należące do innych klientów, co prowadzi do kradzieży treści i naruszenia zaufania klientów. Może to skutkować stratami finansowymi i reputacyjnymi.

Rekomendacja

Zaktualizować Concrete CMS Community Store do wersji 2.7.8 lub nowszej. Do czasu aktualizacji rozważyć wyłączenie sprzedaży produktów cyfrowych lub monitorowanie nietypowych pobrań.

Inne podatności w Concrete CMS Community Store

CVE-2026-93659Wysokie
Concrete CMS Community Store przed wersją 2.7.8 renderuje pola zamówień dostarczane przez klientów bez eskejpowania HTML w widokach kasy i panelu administratora. Niezautoryzowani atakujący mogą przechowywać payloady skryptów w polach nazwy, e-maila lub telefonu, które wykonują się w sesjach uwierzytelnionych menedżerów, umożliwiając tworzenie fałszywych kont lub kradzież danych.

Oryginalny opis (angielski, źródło NVD)

Concrete CMS Community Store before 2.7.8 derives digital product download tokens from order creation timestamps instead of random values, making tokens predictable. Unauthenticated attackers can enumerate sequential order and file identifiers to calculate valid download tokens and retrieve digital goods purchased by other customers.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS