PT-2026-48390

CVE-2026-10721

Publicado

2026-06-10

Atualizado

2026-06-10

Descrição por

CVSS 4.0

8.4

Alta

MétricasAV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Concrete CMS versões anteriores a 9.5.2

Description Ocorre Injeção de Objeto PHP devido à desserialização insegura nos componentes de Permissão, Cache e Busca. Esses componentes utilizam a função unserialize() em dados armazenados sem restringir as classes permitidas. Um invasor não autenticado pode disparar a instanciação de objetos PHP arbitrários se um payload serializado malicioso for colocado no banco de dados, o que pode levar à execução remota de código. Este processo requer que o invasor possua altos privilégios para gravar os dados serializados maliciosos no armazenamento relevante.

Recommendations Atualize para a versão 9.5.2 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Xananasx7

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-502: Deserialization of Untrusted Data

Identificadores relacionados