aj2108/cve-2026-8347
CVE-2026-8347 es una vulnerabilidad de Referencia Directa a Objetos Insegura (IDOR) combinada con un nivel de autorización incorrecto en Concrete CMS versiones 9.5.0 y anteriores. La falla existe en el diálogo Reordenar asociación de Express, lo que permite a un usuario con solo permisos de visualización en una entrada de Express modificar el orden de las asociaciones de otra entidad.
CVE-2026-8347 es una vulnerabilidad de Referencia Directa a Objetos Insegura (IDOR) que afecta a Concrete CMS versiones 9.5.0 y anteriores. El problema existe en la funcionalidad de Reordenación de Asociaciones Express debido a comprobaciones de autorización insuficientes.
Cuando un usuario reordena asociaciones, la aplicación verifica que el usuario tiene permiso para ver la entrada Express, pero no confirma si el usuario está autorizado para modificarla. Como resultado, un usuario autenticado con privilegios limitados puede manipular el identificador de otra entidad Express y reordenar sus asociaciones, incluso sin permisos de edición.
A diferencia de las vulnerabilidades de Inyección SQL o Ejecución Remota de Código, esta falla no implica inyectar comandos o código malicioso. En su lugar, explota el control de acceso deficiente cambiando un identificador de objeto controlado por el usuario (como un ID de entidad) para referenciar el recurso de otro usuario. Debido a que el servidor no valida adecuadamente la autorización para el objeto solicitado, realiza la acción sobre datos que el atacante no debería poder modificar.
// User requests to reorder associations $entityId = $_POST['entityId'];
$entity = $entityRepository->find($entityId);
// Only verifies that the user can access the entity if ($permissionChecker->canView($entity)) {
// Reorders associations without checking edit permission
$associationService->reorder($entity, $_POST['order']);
return response()->json([
'status' => 'success'
]);
}
La aplicación solo valida el permiso de visualización antes de realizar una operación que cambia el estado.
Un atacante puede modificar el parámetro entityId en la solicitud para referenciar la entidad de otro usuario. Dado que no se realiza ninguna comprobación de autorización para la modificación en sí, la operación de reordenación se ejecuta sobre un recurso no autorizado.
Un ataque exitoso puede permitir a un usuario autenticado:
La vulnerabilidad afecta principalmente a la integridad de los datos y no permite inherentemente Inyección SQL, Ejecución Remota de Código ni evasión de autenticación.
La aplicación debe verificar que el usuario autenticado tiene permiso para modificar la entidad específica antes de procesar la solicitud de reordenación.
$entityId = $_POST['entityId'];
$entity = $entityRepository->find($entityId);
// Verify modification permission if (!$permissionChecker->canEdit($entity)) {
return response()->json([
'error' => 'Access denied.'
], 403);
}
// User is authorized $associationService->reorder($entity, $_POST['order']);
return response()->json([ 'status' => 'success' ]);
Actualice a Concrete CMS 9.5.1 o posterior. Los desarrolladores deben implementar comprobaciones de autorización adecuadas en el servidor para cada solicitud que cambie el estado y asegurarse de que los usuarios solo puedan modificar los recursos que tienen permiso explícito para editar.