CVE-2026-8237

CVE-2026-8237 est une vulnérabilité de type Insecure Direct Object Reference (IDOR) causée par des contrôles d'autorisation manquants dans Concrete CMS 9.5.0 et versions antérieures. La faille se trouve dans le point de terminaison /ccm/frontend/conversations/message_detail, qui renvoie le contenu complet des messages de conversation en se basant uniquement sur un identifiant de message fourni par l'utilisateur. Comme l'application ne vérifie pas si le demandeur est autorisé à accéder au message spécifié, un attaquant non authentifié peut énumérer les identifiants de messages et récupérer le contenu de conversations qui devrait rester privé. Les URL de téléchargement des pièces jointes associées à ces messages peuvent également être divulguées. Le problème est corrigé dans Concrete CMS 9.5.1.

Logiciels affectés

Type de vulnérabilité

• Catégorie : Insecure Direct Object Reference (IDOR)


• CWE-862 : Autorisation manquante

Cause racine

Le point de terminaison récupère un message de conversation à l'aide d'un identifiant de message contrôlé par le client, sans vérifier si l'utilisateur actuel a la permission d'accéder à ce message spécifique.

Le flux vulnérable est conceptuellement :

L'utilisateur fournit messageId
↓
Le serveur récupère le message
↓
Aucune vérification d'autorisation
↓
Renvoie le contenu complet du message

Comme les droits de propriété ou d'accès ne sont jamais vérifiés, les attaquants peuvent modifier la valeur de messageId pour accéder aux messages de conversation d'autres utilisateurs.

Scénario d'attaque

Supposons qu'une requête légitime récupère le message 150 :

GET /ccm/frontend/conversations/message_detail?messageId=150

Un attaquant change simplement l'identifiant :

GET /ccm/frontend/conversations/message_detail?messageId=151

Si le serveur répond avec le contenu du message 151 au lieu de refuser l'accès, l'attaquant peut continuer à incrémenter les identifiants pour énumérer les conversations privées et leurs pièces jointes associées.

Impact

Une exploitation réussie peut permettre à un attaquant de :

• Lire des messages de conversation privés.
• Accéder aux discussions de pages restreintes ou réservées aux membres.
• Consulter les messages de la file de modération.
• Obtenir les URL de téléchargement des pièces jointes.
• Énumérer les identifiants de messages de conversation valides.

La vulnérabilité a principalement un impact sur la confidentialité, car des informations sensibles peuvent être divulguées sans autorisation.

Sévérité

Code vulnérable conceptuel

Remarque : L'éditeur n'a pas publié le code source vulnérable réel. L'exemple suivant illustre uniquement le schéma de vulnérabilité.

$messageId = $_GET['messageId'];

$message = $conversationRepository->find($messageId);

// Missing authorization check
return response()->json([
    'message' => $message->getContent(),
    'attachments' => $message->getAttachments()
]);

Pourquoi c'est vulnérable

L'application fait confiance au messageId contrôlé par l'utilisateur et renvoie le message demandé sans confirmer que le demandeur est autorisé à y accéder.

Code corrigé (conceptuel)

$messageId = $_GET['messageId'];

$message = $conversationRepository->find($messageId);

if (!$authorizationService->canView($currentUser, $message)) {
    return response()->json([
        'error' => 'Access denied'
    ], 403);
}

return response()->json([
    'message' => $message->getContent(),
    'attachments' => $message->getAttachments()
]);

Pourquoi ce correctif fonctionne

L'implémentation corrigée effectue une vérification d'autorisation côté serveur avant de renvoyer toute donnée de conversation. Même si un attaquant modifie le messageId, la requête est refusée à moins que l'utilisateur n'ait la permission d'accéder à ce message spécifique. Cela empêche la divulgation non autorisée du contenu des conversations et des pièces jointes.