CVE-2026-18120

Nome do Software Vulnerável e Versões Afetadas Concrete CMS versões anteriores a 9.5.3

Description Um endpoint de pesquisa de entrada Express legado retorna JSON de resultados de entrada sem invocar a verificação de permissão canViewExpressEntries(). Isso permite que um visitante não autenticado que possua um identificador de entidade Express enumere os resultados da pesquisa e exponha valores de atributos destinados a usuários privilegiados. Para entidades Express onde supportsEntrySpecificPermissions() retorna false, a filtragem de permissões por entrada é adicionalmente desativada através da função EntryList::ignorePermissions().

Recommendations Atualize para a versão 9.5.3 ou posterior.