CVE-2026-18115

Nome do Software Vulnerável e Versões Afetadas Concrete CMS versões 9.2.0 through 9.5.2

Description A autorização insuficiente nos endpoints de escrita de usuário da API REST permite que um usuário com um token OAuth de escopo de atualização modifique detalhes sensíveis de contas de outros usuários que não sejam superusuários. Ao explorar a falta de aplicação da permissão edit user properties por campo, um invasor com permissão para editar apenas um campo não sensível pode alterar a senha, o nome de usuário, o e-mail e os atributos de outro usuário, resultando no controle total da conta. Os endpoints afetados são 'PUT /ccm/api/1.0/users/{uID}' e 'POST /ccm/api/1.0/users/{uID}/change password'.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.