Title: Concrete CMS, Description: Concrete CMS 9.5.0 y versiones anteriores es vulnerable a la ejecución remota de código debido a la deserialización insegura que ocurre en el controlador de bloque ExpressEntryList. Un administrador malintencionado con privilegios para añadir bloques a un área puede eludir el mecanismo de protección previsto (_fromCIF === true), que normalmente restringe las entradas maliciosas a través de solicitudes POST de formulario, aprovechando la funcionalidad de la API REST. Debido a que la API REST analiza las solicitudes usando json_decode(), la cadena 'true' se evalúa como un booleano PHP estricto (true). Esta elusión permite al atacante inyectar una carga útil serializada maliciosa en la columna de la base de datos filterFields del bloque. La carga útil se ejecutará posteriormente cuando los datos del bloque sean vistos o editados por un administrador, lo que lleva a la toma de control completa del servidor (RCE). El equipo de seguridad de Concrete CMS otorgó a esta vulnerabilidad una puntuación CVSS v.4.0 de 8.9 con un vector de CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. Gracias a Nguy?n V?n Thi?n https://github.com/Thien225409 por informar.

{"timestamp":"2026-05-22T12:14:43.741857Z","id":"CVE-2026-8135","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"total"}],"role":"CISA Coordinator","version":"2.0.3"}

[{"vendor":"Concrete CMS","product":"Concrete CMS","defaultStatus":"unaffected","collectionURL":"https://github.com/concretecms/concretecms","repo":"https://github.com/concretecms/concretecms","versions":[{"version":"5.0","lessThanOrEqual":"9.5.0","versionType":"git","status":"affected"}]}]

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

OR
          *cpe:2.3:a:concretecms:concrete_cms:*:*:*:*:*:*:*:* versions up to (including) 9.5.0

ConcreteCMS: https://documentation.concretecms.org/9-x/developers/introduction/version-history/951-release-notes Types: Release Notes

Concrete CMS 9.5.0 and below is vulnerable to Remote Code Execution  due to insecure deserialization occurring in the ExpressEntryList block controller. An rogue administrator with privileges to add blocks to an area can bypass the intended protection mechanism (_fromCIF === true), which normally restricts malicious inputs over form POST requests, by leveraging the REST API functionality. Because the REST API parses requests using json_decode(), the string "true" is evaluated as a strict PHP Boolean(true).  This bypass allows the attacker to inject a malicious serialized payload  into the block's filterFields database column. The payload will subsequently be executed when the block's data is viewed or edited by an administrator leading to complete server takeover (RCE).The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 8.9 with a vector of CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H.  Thanks  Nguyễn Văn Thiện https://github.com/Thien225409  for reporting

AV:N/AC:H/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

CWE-502

https://documentation.concretecms.org/9-x/developers/introduction/version-history/951-release-notes