CVE-2026-87031

Nome do Software Vulnerável e Versões Afetadas Concrete CMS versões 9.2.0 through 9.5.3

Description O endpoint de criação de usuário da REST API 'POST /ccm/api/1.0/users', especificamente a função add() em concrete/src/Api/Controller/Users.php, não realiza uma verificação de permissão antes de criar uma conta. Isso permite que qualquer token OAuth válido com o escopo users:add, incluindo tokens client credentials sem um contexto de usuário associado, crie contas de usuário ativas e validadas. Esse processo ignora a verificação de e-mail e a aprovação do administrador. Com as configurações de registro padrão, essas contas podem editar o conteúdo da página, o que pode levar a cross-site scripting (XSS) armazenado—uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo—e a compromissos adicionais do sistema.

Recommendations Atualize o Concrete CMS versões 9.2.0 through 9.5.3 para uma versão onde este problema tenha sido resolvido. Como medida paliativa temporária, restrinja o acesso ao endpoint 'POST /ccm/api/1.0/users' ou limite a distribuição de tokens OAuth com o escopo users:add.