aj2108/cve-2026-8337CVE-2026-8337 に関する技術解説: Concrete CMS Survey における IDOR で、認証されていない攻撃者が公開されたアンケートエンドポイントへ細工した optionID を送信することで、非公開のアンケート結果に影響を与えることができます。
CVE-2026-8337 は、Concrete CMS の Survey 機能に影響を与える Insecure Direct Object Reference (IDOR) 脆弱性です。CVE-2026-8347（Express アソシエーションに関連）とは異なり、この脆弱性により、認証されていない攻撃者が特定のサイト構成下で制限付き/プライベートな調査に参加できる可能性があります。
Concrete CMS 9.5.0 以前には、その調査機能に認可の欠陥が存在します。Web サイトが公開調査と制限付き（プライベート）調査の両方で構成されている場合、攻撃者は制限付き調査の optionID を公開調査エンドポイントに送信できます。
アプリケーションが、送信された optionID が回答中の公開調査に属していることを適切に検証しないため、投票は代わりに制限付き調査に記録されます。これにより、認証されていないユーザーがアクセスできないはずの調査結果に影響を与えることが可能になります。
アプリケーションは公開調査エンドポイントを検証しますが、送信された optionID が実際にその調査に属しているかどうかの確認に失敗します。
概念的には:
ユーザーが投票を送信 ↓ 公開調査エンドポイントがリクエストを受信 ↓ アプリケーションが提供された optionID を受け入れる ↓ optionID がこの調査に属するかどうかの検証なし ↓ 投票が制限付き調査に記録される
サーバーは Survey ID と Option ID の関係を強制する代わりに、ユーザー制御の識別子を信頼します。
Web サイトに以下が含まれているとします:
調査 A (公開) 調査 B (プライベート)
攻撃者はまず調査 A で投票します。
リクエストを傍受し（たとえば Web プロキシを使用）、送信された optionID を調査 B に属するものに置き換えることで、サーバーがオプションが意図された調査に属することを検証しないため、攻撃者はプライベート調査に投票を記録させることができます。
悪用に成功すると、以下が発生する可能性があります:
CVSS v3.1 (NVD): 5.3 – 中 CVSS v4.0 (Concrete CMS CNA): 6.3 – 中プライベート調査への不正な参加。 調査結果の改ざん。 データ整合性の喪失。
この脆弱性は主に、機密性や可用性ではなく整合性に影響を与えます。
管理者は Concrete CMS 9.5.1 以降にアップグレードする必要があります。開発者は、送信されたすべての optionID が回答中の調査に対して検証されること、および認可チェックによりユーザーが公開エンドポイントを通じて制限付き調査データとやり取りできないようにすることを確実にする必要があります。
