Tóm tắt nhanh
- CVE-2021-22966 là lỗ hổng mức CAO (CVSS 8.8) ảnh hưởng concrete5/core, concrete cms (concretecms).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.98%, cao hơn 62.3% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 8.5.7 hoặc mới hơn.
Mô tả
Privilege escalation from Editor to Admin using Groups in Concrete CMS versions 8.5.6 and below. If a group is granted "view" permissions on the bulkupdate page, then users in that group can escalate to being an administrator with a specially crafted curl. Fixed by adding a check for group permissions before allowing a group to be moved.
Mô tả của NVD
Privilege escalation from Editor to Admin using Groups in Concrete CMS versions 8.5.6 and below. If a group is granted "view" permissions on the bulkupdate page, then users in that group can escalate to being an administrator with a specially crafted curl. Fixed by adding a check for group permissions before allowing a group to be moved. Concrete CMS Security team CVSS scoring: 7.1 AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:HCredit for discovery: "Adrian Tiron from FORTBRIDGE ( https://www.fortbridge.co.uk/ )"This fix is also in Concrete version 9.0.0
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí