CVE-2026-8237

CVE-2026-8237, Concrete CMS 9.5.0 और इससे पहले के संस्करणों में अनुपस्थित प्राधिकरण जाँच (missing authorization checks) के कारण उत्पन्न एक Insecure Direct Object Reference (IDOR) भेद्यता है। यह दोष /ccm/frontend/conversations/message_detail एंडपॉइंट में मौजूद है, जो केवल उपयोगकर्ता द्वारा प्रदान किए गए संदेश पहचानकर्ता (message identifier) के आधार पर वार्तालाप संदेशों की पूर्ण सामग्री लौटाता है। चूँकि एप्लिकेशन यह सत्यापित नहीं करता है कि अनुरोधकर्ता निर्दिष्ट संदेश तक पहुँचने के लिए अधिकृत है या नहीं, एक अनप्रमाणित (unauthenticated) हमलावर संदेश IDs की गणना कर सकता है और वार्तालाप सामग्री प्राप्त कर सकता है जो निजी रहनी चाहिए। उन संदेशों से जुड़े फ़ाइल अनुलग्नक डाउनलोड URLs भी उजागर हो सकते हैं। यह समस्या Concrete CMS 9.5.1 में ठीक कर दी गई है।

प्रभावित सॉफ़्टवेयर

भेद्यता प्रकार

• श्रेणी: Insecure Direct Object Reference (IDOR)


• CWE-862: अनुपस्थित प्राधिकरण (Missing Authorization)

मूल कारण

एंडपॉइंट, क्लाइंट-नियंत्रित message ID का उपयोग करके एक वार्तालाप संदेश प्राप्त करता है, बिना यह सत्यापित किए कि वर्तमान उपयोगकर्ता के पास उस विशिष्ट संदेश तक पहुँचने की अनुमति है या नहीं।

भेद्य कार्यप्रवाह (workflow) अवधारणात्मक रूप से इस प्रकार है:

उपयोगकर्ता messageId प्रदान करता है
↓
सर्वर संदेश प्राप्त करता है
↓
कोई प्राधिकरण जाँच नहीं
↓
पूर्ण संदेश सामग्री लौटाता है

चूँकि स्वामित्व या पहुँच अनुमतियों की कभी जाँच नहीं की जाती, हमलावर अन्य उपयोगकर्ताओं के वार्तालाप संदेशों तक पहुँचने के लिए messageId मान बदल सकते हैं।

हमला परिदृश्य

मान लें कि एक वैध अनुरोध संदेश 150 प्राप्त करता है:

GET /ccm/frontend/conversations/message_detail?messageId=150

एक हमलावर केवल पहचानकर्ता बदल देता है:

GET /ccm/frontend/conversations/message_detail?messageId=151

यदि सर्वर पहुँच से वंचित करने के बजाय संदेश 151 की सामग्री के साथ प्रतिक्रिया करता है, तो हमलावर निजी वार्तालापों और उनसे जुड़े अनुलग्नकों की गणना करने के लिए IDs को बढ़ाता रह सकता है।

प्रभाव

सफल शोषण एक हमलावर को निम्नलिखित की अनुमति दे सकता है:

• निजी वार्तालाप संदेश पढ़ना।
• प्रतिबंधित या केवल-सदस्य (members-only) पृष्ठों से चर्चाओं तक पहुँचना।
• मॉडरेशन कतार के संदेश देखना।
• फ़ाइल अनुलग्नक डाउनलोड URLs प्राप्त करना।
• मान्य वार्तालाप संदेश IDs की गणना करना।

यह भेद्यता मुख्य रूप से गोपनीयता को प्रभावित करती है क्योंकि संवेदनशील जानकारी बिना प्राधिकरण के उजागर की जा सकती है।

गंभीरता

अवधारणात्मक भेद्य कोड

नोट: विक्रेता ने वास्तविक भेद्य स्रोत कोड प्रकाशित नहीं किया है। निम्नलिखित उदाहरण केवल भेद्यता पैटर्न को दर्शाता है।

$messageId = $_GET['messageId'];

$message = $conversationRepository->find($messageId);

// Missing authorization check
return response()->json([
    'message' => $message->getContent(),
    'attachments' => $message->getAttachments()
]);

यह भेद्य क्यों है

एप्लिकेशन उपयोगकर्ता-नियंत्रित messageId पर भरोसा करता है और यह पुष्टि किए बिना अनुरोधित संदेश लौटाता है कि अनुरोधकर्ता उस तक पहुँचने के लिए अधिकृत है।

सुधारित कोड (अवधारणात्मक)

$messageId = $_GET['messageId'];

$message = $conversationRepository->find($messageId);

if (!$authorizationService->canView($currentUser, $message)) {
    return response()->json([
        'error' => 'Access denied'
    ], 403);
}

return response()->json([
    'message' => $message->getContent(),
    'attachments' => $message->getAttachments()
]);

यह सुधार क्यों काम करता है

सुधारित कार्यान्वयन किसी भी वार्तालाप डेटा को लौटाने से पहले सर्वर-पक्ष प्राधिकरण जाँच करता है। भले ही हमलावर messageId को संशोधित करे, अनुरोध तब तक अस्वीकार कर दिया जाता है जब तक कि उपयोगकर्ता के पास उस विशिष्ट संदेश तक पहुँचने की अनुमति न हो। यह वार्तालाप सामग्री और अनुलग्नकों के अनधिकृत प्रकटीकरण को रोकता है।