PT-2026-22863 · Unknown · Concrete Cms

Yjkofzuso Art · Publicado 2026-03-04 · Atualizado 2026-03-04 · CVE-2026-3452

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.9

Alta

Vetor base

AV:N/AC:H/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Versões do Concrete CMS anteriores à 9.4.8

Descrição O Concrete CMS é suscetível à Execução Remota de Código devido à injeção de objeto PHP armazenada no bloco Express Entry List, especificamente através do parâmetro columns. Um administrador autenticado pode armazenar dados serializados maliciosos nos campos de configuração do bloco. Esses dados são subsequentemente processados pela função unserialize() sem restrições de classe adequadas ou verificações de integridade, permitindo a potencial execução de código. O problema envolve desserialização armazenada, o que pode levar à Execução Remota de Código (RCE).

Recomendações Versões anteriores à 9.4.8 devem ser atualizadas para a versão 9.4.8 ou posterior.

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-3452

GHSA-GJ26-W59C-29MF

Produtos afetados

Concrete Cms

Referências · 14

• https://github.com/concretecms/concretecms · Nota
• https://github.com/concretecms/concretecms/pull/12826/changes/167f16e4805d8ab546d2997c753ac21bf4854920 · Nota
• https://twitter.com/VulmonFeeds/status/2029036859423142187 · Publicação no Twitter
• https://documentation.concretecms.org/9-x/developers/introduction/version-history/948-release-notes · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-3452 · Aviso do Fabricante
• https://t.me/CVEtracker/46272 · Publicação no Telegram
• https://t.me/cveNotify/154225 · Publicação no Telegram
• https://twitter.com/CVEarity/status/2029168346730774978 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2029040560627937649 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2029039194572517618 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-3452 · Nota de Segurança
• https://github.com/concretecms/concretecms/pull/12826/changes/167f16e4805d8ab546d2997c753ac21bf4854920: · Nota
• https://twitter.com/cyberbivash/status/2029061302807630232 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-gj26-w59c-29mf · Aviso do Fabricante