CVE-2026-81916: Incorrect Authorization in the Concrete CMS Express Entries Dashboard below version 9.5.3 Allows Entry Creation in an Unauthorized Object

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• concretecms concrete cmsдо 9.5.3

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (ConcreteCMS). Не зависят от анализа CPE в NVD и обычно опережают его.

• Concrete CMS Concrete CMS

  • 5.0.0 и новее · до 9.5.2 включительнозатронута · git

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-6826Concrete 9.5.0 and below has file usage disclosure via missing permission check in Usage controller
  60На этой неделе
• CVE-2022-21829Concrete CMS Versions 9.0.0 through 9.0.2 and 8.5.7 and below can download zip files over HTTP and execute code from those zip files which c
  40В плане
• CVE-2023-48648Concrete CMS before 8.5.13 and 9.x before 9.2.2 allows unauthorized access because directories can be created with insecure permissions.
  39Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-8191311 сент. 2026 г. · Concrete CMS versions 9.5.0 through 9.5.2 are vulnerable to Open Redirect via the rcURL parameter.
  21Наблюдать
• ← РаньшеCVE-2026-8191511 сент. 2026 г. · In Concrete CMS below 9.5.3, Page Type update omits object-level authorization
  20Наблюдать
• Позже →CVE-2026-6853511 сент. 2026 г. · Concrete CMS 9.2.0 to 9.5.2 is vulnerable to Missing authorization in the Concrete CMS Area REST API block-create path letting an editor reference files outside
  20Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.