JVNDB-2026-035232

Concrete CMSにおける認証の欠如に関する脆弱性

Concrete CMS 9（バージョン9.0.0から9.5.2）は、ユーザーセレクターのオートコンプリートエンドポイント（/ccm/system/user/autocomplete）に対して認証チェックを実施していません。このエンドポイントは「ユーザーとしてプレビュー」パネルや他のユーザーセレクターコンポーネントを支えています。エンドポイントは呼び出し元の識別や権限を検証せず、セレクターの表示オプションに結びつけられたCSRFスタイルのアクセストークンのみを確認しています。このトークンは、セレクターが認証チェックなしでレンダリングされるため、匿名訪問者にも発行されます。空のクエリはすべて一致するフィルターとして機能するため、認証されていない攻撃者は空の検索を送信し、結果をページングしてすべてのバックエンドアカウントを列挙することが可能です。これにより、内部ユーザーIDやユーザー名、さらに管理者全員（スーパ管理者（ユーザーID 1）を含む）のメールアドレスが漏洩します。ただし、パスワードハッシュやセッション情報は漏洩しません。Concrete CMSセキュリティチームは、この脆弱性をCVSS v4.0のスコア8.7（ベクターCVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N）と評価しました。報告者のthirtythree様およびYesWeHack様に感謝いたします。

Concrete CMS

• Concrete CMS 9.0.0 以上 9.5.3 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

参考情報を参照して適切な対策を実施してください。

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-18110

1. National Vulnerability Database (NVD) : CVE-2026-18110

• [2026年09月25日]
    掲載