CVE-2026-18122

Nome do Software Vulnerável e Versões Afetadas Concrete CMS versões 9.2.0 through 9.5.2

Description O endpoint de listagem da Express REST API falha ao realizar as verificações de permissão de visualização por entrada. Um invasor utilizando um token OAuth com escopo de leitura para uma entidade Express pode enumerar entradas que o contexto do usuário não tem permissão para visualizar. Isso leva à divulgação do identificador público, URL, rótulo, datas e quaisquer atributos ou dados de entrada associados solicitados através do parâmetro includes.

Recommendations Atualize o Concrete CMS para uma versão posterior à 9.5.2. Restrinja o uso do parâmetro includes no endpoint de listagem da Express REST API para minimizar a exposição de dados até que a atualização seja aplicada.