JVNDB-2026-017071

Concrete CMSにおけるユーザ制御の鍵による認証回避に関する脆弱性

Concrete CMS 9.5.0以下には、attachments[]パラメータを介したAddMessageおよびUpdateMessageにおけるIDORの脆弱性が存在し、ファイル権限のバイパスにつながる可能性があります。AddMessageおよびUpdateMessageの会話コントローラーは、ユーザーが提供したファイル添付IDを受け入れ、ファイルごとの権限チェック（canViewFile()）を行わずに、$em-find(File::class, $attachmentID)で直接ファイルを読み込んでいます。任意の会話に投稿できるユーザーは、CMSのファイルマネージャの連続IDを用いて任意のファイルを参照でき、実質的にファイル権限システムをバイパスしてしまいます。Concrete CMSセキュリティチームはこの脆弱性に対し、CVSS v.4.0スコア2.3（ベクターCVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N）を付与しました。報告者のTristan Mandaniに感謝します。サイトに真にプライベートなファイルがある場合、オーナーはウェブルート外のプライベートストレージロケーション（https://documentation.concretecms.org/user-guide/editors-reference/dashboard/system-and-maintenance/files/file-storage-locations）を設定し、閲覧時に権限をチェックできるようにすべきです。これにより、認可されたユーザーがファイルを添付またはリンクしても、認可されていないユーザーはファイルを閲覧できなくなります。

Concrete CMS

• Concrete CMS 9.5.1 未満

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-7886

1. National Vulnerability Database (NVD) : CVE-2026-7886
2. 関連文書 : 9.5.1 Release Notes :: Concrete CMS

• [2026年05月28日]
    掲載