CVE-2026-8337

CVE-2026-8337 Concrete CMS में एक Insecure Direct Object Reference (IDOR) भेद्यता है जो Survey सुविधा को प्रभावित करती है। CVE-2026-8347 (जिसमें Express associations शामिल थे) के विपरीत, यह भेद्यता एक अनधिकृत हमलावर को विशिष्ट साइट कॉन्फ़िगरेशन के तहत प्रतिबंधित/निजी सर्वेक्षण में भाग लेने की अनुमति देती है।

अवलोकन

Concrete CMS 9.5.0 और पुराने संस्करणों में इसकी सर्वेक्षण कार्यक्षमता में एक प्राधिकरण दोष है। यदि किसी वेबसाइट पर सार्वजनिक सर्वेक्षण और प्रतिबंधित (निजी) सर्वेक्षण दोनों कॉन्फ़िगर किए गए हैं, तो एक हमलावर प्रतिबंधित सर्वेक्षण के optionID को सार्वजनिक सर्वेक्षण एंडपॉइंट पर सबमिट कर सकता है।

क्योंकि एप्लिकेशन यह उचित रूप से सत्यापित नहीं करता है कि सबमिट किया गया optionID उस सार्वजनिक सर्वेक्षण से संबंधित है जिसका उत्तर दिया जा रहा है, वोट इसके बजाय प्रतिबंधित सर्वेक्षण में दर्ज हो जाता है। यह एक अनधिकृत उपयोगकर्ता को उन सर्वेक्षणों के परिणामों को प्रभावित करने की अनुमति देता है जिन तक उनकी पहुंच नहीं होनी चाहिए।

प्रभावित सॉफ़्टवेयर

उत्पाद: Concrete CMS प्रभावित संस्करण: 9.5.0 और पुराने फिक्स्ड संस्करण: 9.5.1

भेद्यता प्रकार

CWE-639: उपयोगकर्ता-नियंत्रित कुंजी के माध्यम से प्राधिकरण बायपास (IDOR) CWE-565: सत्यापन और अखंडता जांच के बिना कुकीज़ पर निर्भरता (CNA द्वारा भी निर्दिष्ट)

मूल कारण

एप्लिकेशन सार्वजनिक सर्वेक्षण एंडपॉइंट को मान्य करता है लेकिन यह सत्यापित करने में विफल रहता है कि सबमिट किया गया optionID वास्तव में उस सर्वेक्षण से संबंधित है।

अवधारणात्मक रूप से:

उपयोगकर्ता वोट सबमिट करता है ↓ सार्वजनिक सर्वेक्षण एंडपॉइंट अनुरोध प्राप्त करता है ↓ एप्लिकेशन आपूर्ति किए गए optionID को स्वीकार करता है ↓ कोई सत्यापन नहीं कि optionID इस सर्वेक्षण से संबंधित है ↓ वोट प्रतिबंधित सर्वेक्षण में दर्ज होता है

CVSS v3.1 (NVD): 5.3 – मध्यम CVSS v4.0 (Concrete CMS CNA): 6.3 – मध्यम