CVE-2026-18425

9.5.3 versiyasından əvvəlki Concrete CMS 9, idarəetmə panelinin sayt xəritəsinin yenidən sıralanması hərəkətini (Concrete\Controller\Backend\Dashboard\SitemapUpdate) yalnız qlobal access_sitemap tapşırıq icazəsi ilə təsdiqləmiş və hər bir səhifənin görünüş sırasını yeniləməzdən əvvəl həmin səhifə üçün redaktə icazəsini yoxlamamışdır. Nəticədə, sayt xəritəsinə giriş hüququ olan autentifikasiya olunmuş istifadəçi, redaktə etmək hüququnun olmadığı hər hansı səhifənin görünüş sırasını (cDisplayOrder) dəyişdirə bilərdi ki, bu da həmin səhifələrin naviqasiya, "breadcrumb" və səhifə siyahısı çıxışlarında göstərilmə sırasına təsir edirdi. Yenidən sıralama hərəkəti əlavə olaraq heç bir CSRF tokenini yoxlamadığı üçün yazma prosesi saxtalaşdırılmış sorğu vasitəsilə tetiklənilə bilərdi. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N vektoru ilə 2.1 CVSS v4.0 balı vermişdir. Bildirdiyi üçün Winston Crooker-ə təşəkkürlər.