PT-2026-92166 · Unknown · Concrete Cms
CVSS v4.0
7.4
Alta
| Vetor | AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Concrete CMS versões 9.2.0 through 9.5.2
Description
A autorização insuficiente nos endpoints de escrita de usuário da API REST permite que um usuário com um token OAuth de escopo de atualização modifique detalhes sensíveis de contas de outros usuários que não sejam superusuários. Ao explorar a falta de aplicação da permissão
edit user properties por campo, um invasor com permissão para editar apenas um campo não sensível pode alterar a senha, o nome de usuário, o e-mail e os atributos de outro usuário, resultando no controle total da conta. Os endpoints afetados são 'PUT /ccm/api/1.0/users/{uID}' e 'POST /ccm/api/1.0/users/{uID}/change password'.Recommendations
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Exploit
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Concrete Cms