Podatności Concrete CMS

Concrete CMS w wersjach od 9.5.0 do 9.5.2 jest podatny na otwarte przekierowanie poprzez parametr rcURL. Atakujący może stworzyć link w domenie witryny, który po uwierzytelnieniu przekierowuje użytkownika na dowolną zewnętrzną stronę, ułatwiając phishing i kradzież danych uwierzytelniających. Ten sam mechanizm występuje w procesie rejestracji.

Concrete CMS przed wersją 9.5.3 jest podatny na Cross-Site Request Forgery w funkcji Move Multiple Groups. Endpoint dashboard/users/groups/bulkupdate/confirm() przenosił wybrane węzły drzewa grup bez walidacji tokenu akcji, umożliwiając zmianę stanu grupy dla uwierzytelnionego użytkownika, który jej nie zainicjował. Przeniesienie grupy pod nowego rodzica powoduje dziedziczenie uprawnień rodzica przez członków grupy.

Concrete CMS w wersjach od 9.0.0 do 9.5.2 jest podatny na trwały XSS w oknie dialogowym Board Custom Slot. Endpoint custom_slot save_template autoryzuje żądanie tylko względem docelowej instancji board i zapisuje dostarczony przez klienta selectedTemplateOption[collection] bez weryfikacji, umożliwiając użytkownikowi z uprawnieniami do edycji zawartości boardu zapisanie złośliwego obiektu podsumowania z ładunkiem JavaScript w polu opisu. Domyślny szablon podsumowania renderuje to pole bez kodowania wyjściowego.

Concrete CMS przed wersją 9.5.3 nie walidował tokenu anty-CSRF w akcji submit() kontrolera okna dialogowego duplikowania wydarzenia kalendarza (concrete/controllers/dialog/event/duplicate.php), co pozwalało na zduplikowanie wydarzenia po sprawdzeniu tylko canAccess() i uprawnienia canAddCalendarEvent(). Sfałszowane żądanie cross-site mogło spowodować utworzenie duplikatów rekordów CalendarEvents i CalendarEventVersions przez uwierzytelnionego użytkownika z uprawnieniem dodawania wydarzeń.

Concrete CMS w wersjach od 9 do 9.5.2 jest podatny na Server-Side Template Injection (SSTI) w Theme Customizer poprzez niezwalidowane wartości stylów. Wartości przesyłane przez customizer (kanały kolorów i inne właściwości obsługiwane przez klasy ColorStyle, FontFamilyStyle, ImageStyle) są interpolowane do kompilowanego po stronie serwera źródła LESS bez neutralizacji składni LESS, co pozwala użytkownikowi z uprawnieniem Theme Customization wstrzyknąć dowolne dyrektywy LESS. Poprzez dyrektywę @import (inline) atakujący może odczytać dowolne pliki na serwerze i sięgnąć do zasobów sieci wewnętrznej przez wrappery strumieni PHP, a skompilowany wynik trafia do publicznie serwowanego cache CSS.

Concrete CMS w wersjach od 9 do 9.5.2 jest podatny na brak autoryzacji w trasie aliasu bloku (Process::alias() w concrete/controllers/backend/block/process.php). Nie weryfikuje, czy przywoływany blok jest rzeczywiście osierocony na stronie docelowej, ani czy wywołujący ma jakiekolwiek uprawnienia do bloku źródłowego. Użytkownik z delegacją add_block_to_area ograniczoną do obszaru na własnej stronie może przekazać dowolny identyfikator bloku w witrynie, co powoduje skopiowanie zawartości bloku źródłowego do obszaru kontrolowanego przez atakującego, ujawnienie tej zawartości, a następnie wymuszone usunięcie oryginalnego bloku w tym samym żądaniu.

Concrete CMS w wersjach od 9.2.0 do 9.5.2 zawiera podatność braku autoryzacji w punkcie końcowym listy grup REST API. Metoda listGroups() w concrete/src/Api/Controller/Groups.php rejestruje funkcję sprawdzającą uprawnienia, która bezwarunkowo zwraca true, więc nie jest egzekwowana autoryzacja na poziomie obiektu (węzła drzewa) przy zwracaniu kolekcji grup. Uwierzytelniony użytkownik z tokenem API o zakresie groups:read może wywołać GET /ccm/api/1.0/groups i otrzymać wszystkie grupy w witrynie, niezależnie od uprawnień widoku.

Blok RSS Displayer w Concrete CMS w wersji poniżej 9.5.3 renderował tytuły elementów zdalnego kanału RSS bez escapowania HTML, co prowadzi do przechowywanego XSS. Atakujący kontrolujący tytuł w syndykowanym kanale mógł wykonać skrypt w kontekście witryny dla każdego odwiedzającego, w tym administratorów, bez posiadania konta w tej witrynie.

W Concrete CMS w wersjach od 9.2.0 do 9.5.2 endpoint listy Express REST API ujawnia zastrzeżone wpisy Express z powodu braku autoryzacji — sprawdzanie uprawnień do wyświetlania poszczególnych wpisów zostało wyłączone. Token OAuth z zakresem odczytu dla encji Express mógł wyliczać wpisy, do których kontekst użytkownika nie miał uprawnień, ujawniając publiczny identyfikator, URL, etykietę, daty oraz dane atrybutów lub powiązanych wpisów.

Concrete CMS przed wersją 9.5.3 nie sprawdzał, czy konto jest aktywne lub zweryfikowane e-mailem przed utworzeniem sesji w ścieżce logowania OAuth. Dezaktywowany lub niezweryfikowany użytkownik z istniejącym powiązaniem OAuth mógł zakończyć uwierzytelnianie i otrzymać w pełni uwierzytelnioną sesję.

Concrete CMS poniżej 9.5.3 przechowuje hashe walidacyjne użytkowników do wielu celów (walidacja e-mail/rejestracja, reset hasła, trwałe logowanie) w jednej tabeli z kolumną typu, ale ścieżka realizacji rozwiązuje hash tylko po wartości i nie weryfikuje jego typu. W rezultacie hash wydany w jednym celu może zostać wykorzystany w innym, np. długotrwały hash rejestracyjny (ważny 60 dni) może zostać użyty do zmiany hasła, a hash resetowania hasła do aktywacji konta.

Concrete CMS 9.5.2 i poniżej jest podatny na obejście autoryzacji (IDOR), ponieważ endpoint lightbox kalendarza (/ccm/calendar/view_event/{bID}/{occurrence_id}) nie weryfikuje, czy wywołujący ma uprawnienia do wyświetlenia kalendarza, do którego należy żądane wystąpienie wydarzenia. Kontroler ładuje wystąpienie bezpośrednio na podstawie identyfikatora sekwencyjnego dostarczonego przez atakującego, bez potwierdzenia, że należy ono do kalendarza skonfigurowanego w bloku. Nieuwierzytelniony odwiedzający może ujawnić metadane wydarzeń z niedozwolonych kalendarzy.

Concrete CMS w wersjach od 9 do 9.5.2 nie weryfikował tokenu anty-CSRF w akcji saveTemplate() kontrolera dialogu niestandardowego slotu tablicy (concrete/controllers/dialog/board/custom_slot.php). Akcja tworzyła blok board_slot_proxy i wykonywała AddCustomSlotToBoardCommand na instancji tablicy, sprawdzając jedynie uprawnienie canEditBoardContents(), więc spreparowane żądanie cross-site mogło spowodować zapis danych slotu i szablonu wybranych przez atakującego w imieniu użytkownika posiadającego uprawnienia do edycji tablicy. Zapis do bazy danych następował przed jakimkolwiek renderowaniem, więc sfałszowane żądanie kończyło się sukcesem nawet przy odpowiedzi HTTP innej niż 200.

Concrete CMS w wersjach 8.3.0 do 9.5.2 zawiera błąd obejścia autoryzacji w oknie edycji wydarzenia kalendarza. Uprawnienia sprawdzano względem identyfikatora kalendarza podanego w żądaniu, a nie kalendarza będącego właścicielem edytowanego wydarzenia, co pozwalało użytkownikowi z uprawnieniem "Add Event" na jednym kalendarzu czytać i nadpisywać wydarzenia w kalendarzach, do których nie miał dostępu.

Concrete CMS poniżej wersji 9.5.3 rejestrował zasoby widoku dla każdego podbloku Stosu, Kontenera lub obszaru układu bez sprawdzania, czy żądający użytkownik może zobaczyć ten podblok. Nieuwierzytelniony odwiedzający mógł odzyskać wartości konfiguracyjne emitowane przez rejestrację zasobów ograniczonego podbloku — takie jak skonfigurowany klucz API Google Maps — z dowolnej publicznej strony osadzającej dotknięty Stos, Kontener lub obszar układu, pomimo ograniczeń uprawnień na poziomie bloku.

Zgłoszenie CVE zostało odrzucone. Powód: dostawca nie mógł odtworzyć podatności, a zgłaszający jest niedostępny, aby skomentować.

Podatność w Concrete CMS poniżej wersji 9.5.2 umożliwia niezautoryzowanemu atakującemu wstrzyknięcie obiektów PHP poprzez wywołania unserialize() w komponentach Permission, Cache i Search. Atak wymaga umieszczenia złośliwego ładunku w bazie danych.

Concrete CMS w wersjach poniżej 9.5.3 jest podatny na wstrzyknięcie obiektu PHP poprzez wywołania unserialize() w komponentach Workflow, Form block oraz File/Set, którym brakuje ograniczenia allowed_classes. Luki w Form block i File/Set naprawiono w 9.5.2, a w Workflow w 9.5.3. Nieuwierzytelniony atakujący może wywołać dowolne utworzenie obiektu PHP, jeśli złośliwy serializowany ładunek znajdzie się w bazie danych.

Concrete CMS w wersjach od 9.0 do 9.5.0 zawiera podatność na trwałe XSS w motywie Atomik poprzez nazwę strony. Złośliwy edytor może wstrzyknąć dowolny kod JavaScript, który wykona się w kontekście każdego uwierzytelnionego użytkownika odwiedzającego dotknięte strony konta.

Concrete CMS 9.5.0 i wcześniejsze jest podatne na IDOR oraz niewłaściwy poziom autoryzacji w oknie dialogowym Reorder dla asocjacji Express. Może to prowadzić do manipulacji stanem między encjami przy tylko do odczytu uprawnieniach na jednym wpisie. Aby być podatnym, strona musi używać Express i polegać na kolejności encji Express.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na atak CSRF przez Backend\File::approveVersion. Ofiara z uprawnieniami edit_file_contents może zostać zmuszona do opublikowania wybranej przez atakującego wcześniej przesłanej wersji pliku (downgrade lub aktywacja nieopublikowanej wersji).

Concrete CMS 9 przed wersją 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze approveVersion(). Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych działań na koncie administratora.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescanMultiple(). Atakujący może nakłonić administratora do wykonania niechcianych operacji na plikach.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file rescan(). Atakujący może nakłonić administratora do ponownego skanowania pliku.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w kontrolerze concrete/controllers/backend/file star(). Atakujący może nakłonić administratora do oznaczenia pliku gwiazdką.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie removeFavoriteFolder($id). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie addFavoriteFolder($id). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie reorder w dialogu Express Association. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie duplicate w dialogu Event. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie design w dialogu Page Bulk. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie cache w dialogu Page Bulk. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na atak CSRF w endpointcie delete w dialogu Page Bulk. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań na koncie ofiary.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w ścieżce concrete/controllers/dialog/logs/bulk/delete. CVSS v4.0: 2.3.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross-Site Request Forgery (CSRF) w ścieżce concrete/controllers/dialog/logs/delete. CVSS v4.0: 2.3.

Podatność IDOR w Concrete CMS 9.5.0 i starszych umożliwia nieuwierzytelnionemu atakującemu głosowanie w ograniczonych ankietach poprzez przesłanie opcji przez publiczny endpoint. Wymagana jest konfiguracja z publicznymi i prywatnymi ankietami.

Concrete CMS poniżej 9.5.0 jest podatne na zmianę hasła bez ponownej autoryzacji oraz obejście wzmocnienia sesji. Kontroler edycji profilu użytkownika przekazuje cały surowy POST do UserInfo::update() bez białej listy pól, co umożliwia zmianę hasła bez podania bieżącego hasła oraz pozwala zarejestrowanym użytkownikom wyłączyć przypinanie IP na użytkownika w walidatorze sesji, które ma wykrywać przejęcie sesji.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na Reflected XSS w Legacy Pagination poprzez wstrzyknięcie atrybutu HTML. Funkcja paginacji wstawia pole $URL bezpośrednio do atrybutu href, co pozwala uwierzytelnionemu administratorowi lub przeglądającemu raporty na wykonanie kodu JavaScript po kliknięciu spreparowanego linku.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na nieuwierzytelnione ujawnienie metadanych strony na każdej stronie z skonfigurowanym szablonem podsumowania, ujawniając istnienie prywatnych, roboczych i ograniczonych stron oraz wyciek tytułu, ścieżki, opisu i informacji o autorze.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR. Endpoint '/ccm/frontend/conversations/get_rating' potwierdza istnienie i zwraca ocenę dla dowolnej wiadomości na podstawie jej ID.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR. Endpoint '/ccm/frontend/conversations/message_page' zwraca pełną treść dowolnej wiadomości konwersacji. Nieuwierzytelniony atakujący może wyliczyć wszystkie wiadomości, w tym z ograniczonych stron, obszarów tylko dla członków i kolejki moderacji. Ujawniane są również załączniki plików z URL-ami do pobrania.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR. Endpoint '/ccm/frontend/conversations/message_detail' zwraca pełną treść dowolnej wiadomości konwersacji. Nieuwierzytelniony atakujący może wyliczyć wszystkie wiadomości, w tym z ograniczonych stron, obszarów tylko dla członków i kolejki moderacji. Ujawniane są również załączniki plików z URL-ami do pobrania.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR połączony z brakiem bramki uwierzytelniania. Endpoint '/ccm/system/dialogs/file/usage/{fID}' akceptuje identyfikator pliku w URL i zwraca dane o strukturze wewnętrznej witryny (ID stron, wersje, ścieżki URL) każdemu, kto wyśle żądanie GET.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na trwałe XSS poprzez stronę z linkiem zewnętrznym (cvName), ponieważ funkcja updateCollectionAliasExternal nie przeprowadza sanityzacji danych. Złośliwy edytor może wstrzyknąć kod JavaScript.

Concrete CMS w wersji 9.5.0 i niższych zawiera blok RSS Displayer, który akceptuje adres URL kanału od dowolnego edytora strony i pobiera go po stronie serwera bez walidacji. Umożliwia to obejście mechanizmów przekierowań do wewnętrznych zasobów.

W Concrete CMS 9.5.0 i wcześniejszych, obsługa kodu autoryzacyjnego OAuth 2.0 pomija status konta. Użytkownik z uIsActive=0 (zawieszony, zbanowany, zwolniony pracownik) może nadal uwierzytelniać się przez OAuth i otrzymywać ważne tokeny API.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR w kontrolerach AddMessage i UpdateMessage przez parametr attachments[]. Brakuje w nich sprawdzania uprawnień do plików (canViewFile()), co pozwala użytkownikowi mogącemu publikować w dowolnej konwersacji na odwoływanie się do dowolnego pliku w menedżerze plików CMS po jego identyfikatorze, omijając system uprawnień.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na nieautoryzowane usuwanie plików z powodu odwróconej walidacji tokena CSRF w kontrolerze DeleteFile. Token CSRF jest odrzucany, gdy jest poprawny, a akceptowany, gdy jest nieprawidłowy, co umożliwia ataki CSRF na użytkowników z uprawnieniami do edycji wiadomości konwersacji.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na IDOR w bloku Express Entry Detail za pomocą parametru exEntryID. To IDOR prowadzi do nieautoryzowanego dostępu do wszystkich zgłoszeń formularzy Express.

W Concrete CMS w wersji 9.5.0 i starszych, metoda submit_password() w pliku concrete/controllers/single_page/download_file.php umożliwia nieautoryzowany dostęp do plików. Obejście sprawdzenia uprawnień view_file pozwala na pobieranie plików bez hasła oraz plików chronionych hasłem przez każdego użytkownika znającego hasło, niezależnie od posiadanych uprawnień.

Concrete CMS 9.5.0 i wcześniejsze emituje token CSRF w widoku local_available_update.php, ale metoda do_update() nie weryfikuje go. Atakujący może wykorzystać tę lukę do przeprowadzenia ataku CSRF, który aktualizuje CMS do wersji wskazanej przez atakującego.