JVNDB-2026-035230

Concrete CMSにおける認証の欠如に関する脆弱性

Concrete CMS 9.5.3より前のバージョンでは、従来のExpressエントリー検索エンドポイントが公開されており、通常のダッシュボードおよびCSVエクスポートフローで適用されるcanViewExpressEntries()の権限チェックを呼び出さずにエントリー結果のJSONを返していました。認証されていない訪問者がExpressエンティティ識別子を知っている、または発見した場合には、そのエンティティのエントリー検索結果を列挙でき、特権ユーザーのみを対象とした属性値が漏洩する可能性がありました。エントリー固有の権限をサポートしないExpressエンティティ（つまり、supportsEntrySpecificPermissions()がfalseを返す場合）では、EntryList::ignorePermissions()を介してエントリーごとの権限フィルタリングも無効化されています。Concrete CMSのセキュリティチームは、この脆弱性にCVSS v4.0のスコア6.3（ベクターCVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）を付与しました。報告者のDaniel Powellに感謝しています。

Concrete CMS

• Concrete CMS 9.5.4 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

参考情報を参照して適切な対策を実施してください。

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-18120

1. National Vulnerability Database (NVD) : CVE-2026-18120

• [2026年09月25日]
    掲載