CVE-2026-7881: Concrete CMS 9.5.0 and below is vulnerable to IDOR in the Express Entry Detail block

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• concretecms concrete cmsдо 9.5.1

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (ConcreteCMS). Не зависят от анализа CPE в NVD и обычно опережают его.

• Concrete CMS Concrete CMS

  • 5.0 и новее · до 9.5.0затронута · git

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-6826Concrete 9.5.0 and below has file usage disclosure via missing permission check in Usage controller
  60На этой неделе
• CVE-2022-21829Concrete CMS Versions 9.0.0 through 9.0.2 and 8.5.7 and below can download zip files over HTTP and execute code from those zip files which c
  40В плане
• CVE-2023-48648Concrete CMS before 8.5.13 and 9.x before 9.2.2 allows unauthorized access because directories can be created with insecure permissions.
  39Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-842821 мая 2026 г. · CSRF token is not validated in the core CMS update controller for Concrete CMS 9.5.0 and below
  30Наблюдать
• ← РаньшеCVE-2026-787921 мая 2026 г. · Concrete CMS 9.5.0 and below is vulnerable to File Download Authorization Bypass in submit_password()
  25Наблюдать
• Позже →CVE-2026-788221 мая 2026 г. · Concrete CMS 9.5.0 and below is vulnerable to CSRF via the DeleteFile controller
  9Наблюдать

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.