PT-2026-92392
CVE-2026-81921
·
Publicado
2026-09-15
·
Atualizado
2026-09-15
Descrição por
CVSS 3.1
5.4
MédiaMétricasAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas
Concrete CMS versões 8.5.3 through 9.5.2
Description
A concessão de refresh-token do OAuth 2.0 utiliza uma concessão League upstream não modificada que emite novos tokens de acesso a partir de um refresh token válido sem verificar o status ativo atual da conta associada. Isso permite que um usuário que obteve anteriormente um refresh token continue a gerar tokens de acesso válidos mesmo após sua conta ter sido desativada ou suspensa (onde
uIsActive é definido como 0), significando que a desativação da conta não revoga o acesso à API.Recommendations
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾