Podatności Concrete CMS

Podatność w Concrete CMS poniżej wersji 9.5.2 umożliwia niezautoryzowanemu atakującemu wstrzyknięcie obiektów PHP poprzez wywołania unserialize() w komponentach Permission, Cache i Search. Atak wymaga umieszczenia złośliwego ładunku w bazie danych.

Concrete CMS w wersjach poniżej 9.5.2 jest podatny na wstrzykiwanie obiektów PHP przez funkcję unserialize() w komponentach Workflow, Form block i File/Set, które nie ograniczają dozwolonych klas. Nieuwierzytelniony atakujący może wywołać dowolną instancję obiektu PHP, jeśli złośliwy serializowany ładunek został umieszczony w bazie danych.

Concrete CMS w wersjach od 9.0 do 9.5.0 zawiera podatność na trwałe XSS w motywie Atomik poprzez nazwę strony. Złośliwy edytor może wstrzyknąć dowolny kod JavaScript, który wykona się w kontekście każdego uwierzytelnionego użytkownika odwiedzającego dotknięte strony konta.

Concrete CMS 9.5.0 i wcześniejsze jest podatne na IDOR oraz niewłaściwy poziom autoryzacji w oknie dialogowym Reorder dla asocjacji Express. Może to prowadzić do manipulacji stanem między encjami przy tylko do odczytu uprawnieniach na jednym wpisie. Aby być podatnym, strona musi używać Express i polegać na kolejności encji Express.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na atak CSRF przez Backend\File::approveVersion. Ofiara z uprawnieniami edit_file_contents może zostać zmuszona do opublikowania wybranej przez atakującego wcześniej przesłanej wersji pliku (downgrade lub aktywacja nieopublikowanej wersji).

Concrete CMS 9 przed wersją 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze approveVersion(). Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych działań na koncie administratora.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescanMultiple(). Atakujący może nakłonić administratora do wykonania niechcianych operacji na plikach.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescan(). Atakujący może nakłonić administratora do ponownego skanowania pliku.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file star(). Atakujący może nakłonić administratora do oznaczenia pliku gwiazdką.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie removeFavoriteFolder($id). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie addFavoriteFolder($id). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie reorder w dialogu Express Association. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie duplicate w dialogu Event. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie design w dialogu Page Bulk. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie cache w dialogu Page Bulk. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie delete w dialogu Page Bulk. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w ścieżce concrete/controllers/dialog/logs/bulk/delete. CVSS v4.0: 2.3.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w ścieżce concrete/controllers/dialog/logs/delete. CVSS v4.0: 2.3.

Podatność IDOR w Concrete CMS 9.5.0 i starszych umożliwia nieuwierzytelnionemu atakującemu głosowanie w ograniczonych ankietach poprzez przesłanie opcji przez publiczny endpoint. Wymagana jest konfiguracja z publicznymi i prywatnymi ankietami.

Concrete CMS poniżej 9.5.0 jest podatne na zmianę hasła bez ponownej autoryzacji oraz obejście wzmocnienia sesji. Kontroler edycji profilu użytkownika przekazuje cały surowy POST do UserInfo::update() bez białej listy pól, co umożliwia zmianę hasła bez podania bieżącego hasła oraz pozwala zarejestrowanym użytkownikom wyłączyć przypinanie IP na użytkownika w walidatorze sesji, które ma wykrywać przejęcie sesji.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na Reflected XSS w Legacy Pagination poprzez wstrzyknięcie atrybutu HTML. Funkcja paginacji wstawia pole $URL bezpośrednio do atrybutu href, co pozwala uwierzytelnionemu administratorowi lub przeglądającemu raporty na wykonanie kodu JavaScript po kliknięciu spreparowanego linku.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na nieuwierzytelnione ujawnienie metadanych strony na każdej stronie z skonfigurowanym szablonem podsumowania, ujawniając istnienie prywatnych, roboczych i ograniczonych stron oraz wyciek tytułu, ścieżki, opisu i informacji o autorze.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR. Endpoint '/ccm/frontend/conversations/get_rating' potwierdza istnienie i zwraca ocenę dla dowolnej wiadomości na podstawie jej ID.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR. Endpoint '/ccm/frontend/conversations/message_page' zwraca pełną treść dowolnej wiadomości konwersacji. Nieuwierzytelniony atakujący może wyliczyć wszystkie wiadomości, w tym z ograniczonych stron, obszarów tylko dla członków i kolejki moderacji. Ujawniane są również załączniki plików z URL-ami do pobrania.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR. Endpoint '/ccm/frontend/conversations/message_detail' zwraca pełną treść dowolnej wiadomości konwersacji. Nieuwierzytelniony atakujący może wyliczyć wszystkie wiadomości, w tym z ograniczonych stron, obszarów tylko dla członków i kolejki moderacji. Ujawniane są również załączniki plików z URL-ami do pobrania.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR połączony z brakiem bramki uwierzytelniania. Endpoint '/ccm/system/dialogs/file/usage/{fID}' akceptuje identyfikator pliku w URL i zwraca dane o strukturze wewnętrznej witryny (ID stron, wersje, ścieżki URL) każdemu, kto wyśle żądanie GET.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na trwałe XSS poprzez stronę z linkiem zewnętrznym (cvName), ponieważ funkcja updateCollectionAliasExternal nie przeprowadza sanityzacji danych. Złośliwy edytor może wstrzyknąć kod JavaScript.

Concrete CMS w wersji 9.5.0 i niższych zawiera blok RSS Displayer, który akceptuje adres URL kanału od dowolnego edytora strony i pobiera go po stronie serwera bez walidacji. Umożliwia to obejście mechanizmów przekierowań do wewnętrznych zasobów.

W Concrete CMS 9.5.0 i wcześniejszych, obsługa kodu autoryzacyjnego OAuth 2.0 pomija status konta. Użytkownik z uIsActive=0 (zawieszony, zbanowany, zwolniony pracownik) może nadal uwierzytelniać się przez OAuth i otrzymywać ważne tokeny API.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR w kontrolerach AddMessage i UpdateMessage przez parametr attachments[]. Brakuje w nich sprawdzania uprawnień do plików (canViewFile()), co pozwala użytkownikowi mogącemu publikować w dowolnej konwersacji na odwoływanie się do dowolnego pliku w menedżerze plików CMS po jego identyfikatorze, omijając system uprawnień.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na nieautoryzowane usuwanie plików z powodu odwróconej walidacji tokena CSRF w kontrolerze DeleteFile. Token CSRF jest odrzucany, gdy jest poprawny, a akceptowany, gdy jest nieprawidłowy, co umożliwia ataki CSRF na użytkowników z uprawnieniami do edycji wiadomości konwersacji.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR w bloku Express Entry Detail za pomocą parametru exEntryID. To IDOR prowadzi do nieautoryzowanego dostępu do wszystkich zgłoszeń formularzy Express.

W Concrete CMS w wersji 9.5.0 i starszych, metoda submit_password() w pliku concrete/controllers/single_page/download_file.php umożliwia nieautoryzowany dostęp do plików. Obejście sprawdzenia uprawnień view_file pozwala na pobieranie plików bez hasła oraz plików chronionych hasłem przez każdego użytkownika znającego hasło, niezależnie od posiadanych uprawnień.

Concrete CMS 9.5.0 i wcześniejsze emituje token CSRF w widoku local_available_update.php, ale metoda do_update() nie weryfikuje go. Atakujący może wykorzystać tę lukę do przeprowadzenia ataku CSRF, który aktualizuje CMS do wersji wskazanej przez atakującego.

Concrete CMS 9.5.0 i starsze nie waliduje tokena CSRF przed przetworzeniem żądań do /dashboard/extend/update/prepare_remote_upgrade/<remoteMPID>. Atakujący kontrolujący zdalny pakiet dla znanego identyfikatora elementu marketplace może nadpisać pakiet PHP na dysku i wymusić wykonanie jego metody upgrade() w jednej nawigacji przeglądarki. Prowadzi to do zdalnego wykonania kodu jako użytkownik serwera WWW.

Concrete CMS 9.5.0 i starsze zawiera podatność CSRF w metodzie install_package() w pliku concrete/controllers/single_page/dashboard/extend/install.php. Atakujący, który może skłonić uwierzytelnionego administratora do odwiedzenia spreparowanej strony i umieścił pakiet w DIR_PACKAGES/<handle>/, może wymusić instalację tego pakietu bez ochrony CSRF. Instalacja wykonuje metodę install() jako użytkownik serwera WWW, umożliwiając zdalne wykonanie kodu.

Concrete CMS w wersji 9.5.0 i niższych nie waliduje tokena CSRF przed przetworzeniem żądań do /dashboard/extend/update/do_update/<pkgHandle>. Atakujący może zmusić uwierzytelnionego administratora do uruchomienia aktualizacji pakietu poprzez pojedynczą nawigację między witrynami.

W Concrete CMS 9.5.0 i starszych brak autoryzacji w bulk_user_assignment.php umożliwia każdemu uwierzytelnionemu użytkownikowi dodawanie dowolnych adresów email do dowolnych grup oraz usuwanie administratorów, co prowadzi do eskalacji uprawnień.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na obejście autoryzacji w bloku kalendarza. Funkcja action_get_events nie sprawdza uprawnienia canView na kalendarzu, co prowadzi do ujawnienia szczegółów ograniczonych wydarzeń.

Concrete CMS w wersji 9.5.0 i niższych zawiera podatność na ominięcie autoryzacji w oknie dialogowym zdarzeń kalendarza. Pozwala to na ujawnienie danych między kalendarzami, gdzie publiczny blok kalendarza może być użyty jako punkt dostępu do prywatnych danych kalendarza.

Concrete CMS w wersji 9.5.0 i niższych zawiera podatność na trwałe XSS w parametrze height. Kontroler nie waliduje ani nie sanityzuje wartości $height, co pozwala użytkownikom z uprawnieniami edytora na wstrzyknięcie złośliwego JavaScriptu wykonywanego w przeglądarce odwiedzających.

Concrete CMS 9.5.0 i wcześniejsze jest podatne na przechowywany XSS poprzez nazwę integracji OAuth. Szablon autoryzacji OAuth renderuje nazwę integracji (kontrolowaną przez administratora) przez funkcję tłumaczenia t() jako format sprintf. Otoczka <strong>...</strong> jest budowana przez interpolację stringów PHP przed wykonaniem t(), więc nazwa integracji trafia do przetłumaczonego wyjścia jako surowy HTML. Złośliwy administrator może potencjalnie podsłuchiwać dane logowania.

Concrete CMS w wersji 9.5.0 i niższych nie waliduje tokena CSRF przed przetworzeniem żądań do /dashboard/extend/install/download/<remoteId>. Metoda download() sprawdza tylko uprawnienie canInstallPackages() przed pobraniem zdalnego pakietu i zapisaniem go do katalogu DIR_PACKAGES. Atakujący może zmusić uwierzytelnionego administratora do pobrania dowolnego pakietu z marketplace.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na zdalne wykonanie kodu (RCE) z powodu niebezpiecznej deserializacji w kontrolerze bloku ExpressEntryList. Nieuczciwy administrator z uprawnieniami do dodawania bloków może ominąć mechanizm ochronny (_fromCIF === true) poprzez wykorzystanie REST API, które parsuje żądania za pomocą json_decode(), gdzie string "true" jest interpretowany jako ścisłe PHP Boolean(true). Pozwala to na wstrzyknięcie złośliwego serializowanego ładunku do kolumny filterFields bloku, który jest wykonywany podczas przeglądania lub edycji danych bloku przez administratora, prowadząc do całkowitego przejęcia serwera.

Concrete CMS w wersji 9.5.0 i niższych nie oczyszcza sekwencji path traversal w polu ptComposerFormLayoutSetControlCustomTemplate podczas zapisywania układów formularzy typu strony. Uwierzytelniony administrator z uprawnieniami do edycji formularzy może dołączyć dowolne pliki do odczytu na serwerze. W połączeniu z walidacją tylko rozszerzeń (pozwalającą na kod PHP w plikach .png) może to prowadzić do zdalnego wykonania kodu.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na nieuwierzytelnione ujawnienie informacji o użyciu plików z powodu braku kontroli uprawnień w kontrolerze użycia. Każdy nieuwierzytelniony gość może zażądać /ccm/system/dialogs/file/usage/{fID} z dowolnym ID pliku i otrzymać listę stron odwołujących się do tego pliku, w tym ID stron, uchwyty i pełne adresy URL, nawet dla stron z ograniczonymi uprawnieniami.