CVE-2026-68535

Nome do Software Vulnerável e Versões Afetadas Concrete CMS versões 9.2.0 through 9.5.2

Description O endpoint 'block-create' da Area API não invoca o método validate() do controlador do tipo de bloco para os dados enviados. Para blocos que referenciam arquivos, como hero image e gallery, este método é responsável por autorizar o arquivo referenciado em relação à visibilidade do gerenciador de arquivos do usuário. Consequentemente, um usuário autenticado com o escopo block-add pode armazenar e renderizar uma referência a um arquivo que deveria ser rejeitado pela política de autorização do gerenciador de arquivos. Isso leva à divulgação da URL e da pré-visualização do arquivo para o editor e para os visitantes da página. Em configurações de armazenamento de arquivos públicos, a URL e a miniatura são expostas diretamente, enquanto no armazenamento privado, a divulgação é limitada pela URL de download verificada por permissão.

Recommendations Atualize o Concrete CMS para uma versão posterior à 9.5.2. Como mitigação temporária, restrinja o escopo block-add para usuários que não devem ter permissão para referenciar arquivos sensíveis através do endpoint 'block-create'.