Zaloguj się
Deutsch English Español Polski
Średnia

Concrete CMS is vulnerable to IDOR in surveys

  • Ujawniono: 22.05.2026
  • Aktualizacja: 11.10.2026 10:22

Concrete CMS 9.5.0 and below is vulnerable to IDOR in surveys. To be vulnerable, a site would have to be configured in such a way that both public and private surveys are present on the site. An unauthenticated attacker can vote in the restricted survey by submitting the restricted optionID through the public survey’s endpoint.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer concrete5/concrete5 < 9.5.1 9.5.1

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Słabość (CWE)
CWE-565
Platforma
Composer
Paczka
concrete5/concrete5
Ujawniono
22.05.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-8c7c-h7px-267g - CC BY 4.0

Historia podatności: concrete5/concrete5

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (121) w archiwum
Wszystkich wpisów
121
Pierwsza → ostatnia
10.2021 06.2026
Bez poprawki
10
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 16
  • Średnia 65
  • Niska 38

Ujawnienia w latach

Istotność:
  1. Concrete CMS: PHP Object Injection via unserialize() calls
    Wysoka CVE-2026-10721 < 9.5.2 9.5.2
  2. Concrete CMS is vulnerable to PHP Object Injection via unserialize() calls in the Workflow, Form block, and File/Set components
    Wysoka CVE-2026-7888 < 9.5.2 9.5.2
  3. Concrete CMS is vulnerable to IDOR in surveys ten wpis
    Średnia CVE-2026-8337 < 9.5.1 9.5.1
  4. Concrete does not validate a CSRF token before processing requests to `/dashboard/extend/update/do_update/<pkgHandle>`
    Wysoka CVE-2026-8417 < 9.5.1 9.5.1
  5. Concrete CMS does not validate a CSRF token before processing requests to `/dashboard/extend/update/prepare_remote_upgrade/<remoteMPID>`
    Wysoka CVE-2026-8426 < 9.5.1 9.5.1
  6. Concrete CMS contains a CSRF vulnerability
    Wysoka CVE-2026-8421 < 9.5.1 9.5.1
  7. Concrete CMS is Vulnerable to Cross-Site Request Forgery
    Wysoka CVE-2026-8428 < 9.5.1 9.5.1
  8. Concrete CMS is vulnerable to missing authorization in the bulk_user_assignment.php
    Wysoka CVE-2026-8350 < 9.5.1 9.5.1
  9. Concrete CMS has Stored XSS through its height parameter
    Wysoka CVE-2026-8203 < 9.5.1 9.5.1
  10. Concrete CMS is Vulnerable to Cross-Site Request Forgery
    Wysoka CVE-2026-8140 < 9.5.1 9.5.1
  11. Concrete CMS Vulnerable to Deserialization of Untrusted Data
    Wysoka CVE-2026-8135 < 9.5.1 9.5.1
  12. Concrete CMS is vulnerable to Stored XSS via OAuth integration name
    Wysoka CVE-2026-8197 < 9.5.1 9.5.1
  13. Concrete CMS Vulnerable to Relative Path Traversal
    Krytyczna · 7.2 CVE-2026-8134 < 9.5.1 9.5.1
  14. Concrete CMS vulnerable to Remote Code Execution by stored PHP object injection
    Wysoka CVE-2026-3452 < 9.4.8 9.4.8
  15. Concrete CMS (previously concrete5) is vulnerable to possible auth bypass in the jobs section
    Krytyczna · 9.8 CVE-2023-28473 < 9.2.0 9.2.0
  16. Concrete CMS vulnerable to Cross-site Request Forgery
    Wysoka · 8.8 CVE-2022-43693 < 8.5.10, >= 9.0.0RC1, < 9.1.3 8.5.10, 9.1.3
  17. Cross Site Request Forgery in concrete5/concrete5
    Wysoka CVE-2021-22954 < 9.0.0 9.0.0
  18. Unrestricted Uploads in Concrete5
    Wysoka · 7.2 CVE-2020-11476 < 8.5.3 8.5.3
  19. Server-Side Request Forgery vulnerability in concrete5
    Wysoka · 8.2 CVE-2021-22958 < 8.5.5 8.5.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.