Podatności Concrete CMS

Concrete CMS 9.5.0 i starsze nie waliduje tokena CSRF przed przetworzeniem żądań do /dashboard/extend/update/prepare_remote_upgrade/<remoteMPID>. Atakujący kontrolujący zdalny pakiet dla znanego identyfikatora elementu marketplace może nadpisać pakiet PHP na dysku i wymusić wykonanie jego metody upgrade() w jednej nawigacji przeglądarki. Prowadzi to do zdalnego wykonania kodu jako użytkownik serwera WWW.

Concrete CMS 9.5.0 i starsze zawiera podatność CSRF w metodzie install_package() w pliku concrete/controllers/single_page/dashboard/extend/install.php. Atakujący, który może skłonić uwierzytelnionego administratora do odwiedzenia spreparowanej strony i umieścił pakiet w DIR_PACKAGES/<handle>/, może wymusić instalację tego pakietu bez ochrony CSRF. Instalacja wykonuje metodę install() jako użytkownik serwera WWW, umożliwiając zdalne wykonanie kodu.

Concrete CMS w wersji 9.5.0 i niższych nie waliduje tokena CSRF przed przetworzeniem żądań do /dashboard/extend/update/do_update/<pkgHandle>. Atakujący może zmusić uwierzytelnionego administratora do uruchomienia aktualizacji pakietu poprzez pojedynczą nawigację między witrynami.

W Concrete CMS 9.5.0 i starszych brak autoryzacji w bulk_user_assignment.php umożliwia każdemu uwierzytelnionemu użytkownikowi dodawanie dowolnych adresów email do dowolnych grup oraz usuwanie administratorów, co prowadzi do eskalacji uprawnień.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na obejście autoryzacji w bloku kalendarza. Funkcja action_get_events nie sprawdza uprawnienia canView na kalendarzu, co prowadzi do ujawnienia szczegółów ograniczonych wydarzeń.

Concrete CMS w wersji 9.5.0 i niższych zawiera podatność na ominięcie autoryzacji w oknie dialogowym zdarzeń kalendarza. Pozwala to na ujawnienie danych między kalendarzami, gdzie publiczny blok kalendarza może być użyty jako punkt dostępu do prywatnych danych kalendarza.

Concrete CMS w wersji 9.5.0 i niższych zawiera podatność na trwałe XSS w parametrze height. Kontroler nie waliduje ani nie sanityzuje wartości $height, co pozwala użytkownikom z uprawnieniami edytora na wstrzyknięcie złośliwego JavaScriptu wykonywanego w przeglądarce odwiedzających.

Concrete CMS 9.5.0 i wcześniejsze jest podatne na przechowywany XSS poprzez nazwę integracji OAuth. Szablon autoryzacji OAuth renderuje nazwę integracji (kontrolowaną przez administratora) przez funkcję tłumaczenia t() jako format sprintf. Otoczka <strong>...</strong> jest budowana przez interpolację stringów PHP przed wykonaniem t(), więc nazwa integracji trafia do przetłumaczonego wyjścia jako surowy HTML. Złośliwy administrator może potencjalnie podsłuchiwać dane logowania.

Concrete CMS w wersji 9.5.0 i niższych nie waliduje tokena CSRF przed przetworzeniem żądań do /dashboard/extend/install/download/<remoteId>. Metoda download() sprawdza tylko uprawnienie canInstallPackages() przed pobraniem zdalnego pakietu i zapisaniem go do katalogu DIR_PACKAGES. Atakujący może zmusić uwierzytelnionego administratora do pobrania dowolnego pakietu z marketplace.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na zdalne wykonanie kodu (RCE) z powodu niebezpiecznej deserializacji w kontrolerze bloku ExpressEntryList. Nieuczciwy administrator z uprawnieniami do dodawania bloków może ominąć mechanizm ochronny (_fromCIF === true) poprzez wykorzystanie REST API, które parsuje żądania za pomocą json_decode(), gdzie string "true" jest interpretowany jako ścisłe PHP Boolean(true). Pozwala to na wstrzyknięcie złośliwego serializowanego ładunku do kolumny filterFields bloku, który jest wykonywany podczas przeglądania lub edycji danych bloku przez administratora, prowadząc do całkowitego przejęcia serwera.

Concrete CMS w wersji 9.5.0 i niższych nie oczyszcza sekwencji path traversal w polu ptComposerFormLayoutSetControlCustomTemplate podczas zapisywania układów formularzy typu strony. Uwierzytelniony administrator z uprawnieniami do edycji formularzy może dołączyć dowolne pliki do odczytu na serwerze. W połączeniu z walidacją tylko rozszerzeń (pozwalającą na kod PHP w plikach .png) może to prowadzić do zdalnego wykonania kodu.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na nieuwierzytelnione ujawnienie informacji o użyciu plików z powodu braku kontroli uprawnień w kontrolerze użycia. Każdy nieuwierzytelniony gość może zażądać /ccm/system/dialogs/file/usage/{fID} z dowolnym ID pliku i otrzymać listę stron odwołujących się do tego pliku, w tym ID stron, uchwyty i pełne adresy URL, nawet dla stron z ograniczonymi uprawnieniami.