CVE-2026-18110

सारांश

Concrete CMS 9 (9.0.0 से 9.5.2 तक) उपयोगकर्ता सेलेक्टर ऑटोकम्पलीट एंडपॉइंट (/ccm/system/user/autocomplete) पर प्राधिकरण जाँच नहीं करता, जो "Preview as User" पैनल और अन्य उपयोगकर्ता-सेलेक्टर घटकों को सहारा देता है। एंडपॉइंट केवल एक CSRF-शैली एक्सेस टोकन को मान्य करता है जो कॉलर की पहचान या अनुमतियों के बजाय सेलेक्टर के डिस्प्ले विकल्पों से बंधा होता है, और वह टोकन अनाम विज़िटरों को जारी किया जाता है क्योंकि सेलेक्टर बिना किसी प्राधिकरण जाँच के रेंडर होता है। चूँकि एक खाली क्वेरी मैच-ऑल फ़िल्टर में परिणत होती है, एक अनधिकृत हमलावर एक खाली खोज सबमिट कर सकता है और परिणामों को पेजिनेट करके हर बैकएंड खाते की गणना कर सकता है, जिससे सभी प्रशासनिक उपयोगकर्ताओं, जिसमें सुपर-एडमिनिस्ट्रेटर (उपयोगकर्ता ID 1) भी शामिल है, की आंतरिक उपयोगकर्ता ID, उपयोगकर्ता नाम और ईमेल पता उजागर होता है। कोई पासवर्ड हैश या सत्र सामग्री उजागर नहीं होती। Concrete CMS सुरक्षा टीम ने इस भेद्यता को CVSS v4.0 स्कोर 8.7 दिया है, वेक्टर CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N के साथ। रिपोर्ट करने के लिए thirtythree और YesWeHack को धन्यवाद।

स्रोत

• CVE-2026-18110-PoCPoC

  Python PoC और Nuclei template जो CVE-2026-18110 का उपयोग करता है, जो Concrete CMS 9.0.0-9.5.2 में user autocomplete endpoint के माध्यम से एक unauthenticated user enumeration flaw है।