CVE-2026-81901
Təsvir
Concrete CMS 9.2.0 və 9.5.2 versiyaları arasında REST API səhifə yeniləmə son nöqtəsi (PUT /ccm/api/1.0/pages/{cID}) page-property, page-template və ya page-type avtorizasiyasını təmin etmir. Səhifədə yalnız məzmunu redaktə etmək hüququ olan istifadəçi API vasitəsilə həmin səhifənin xüsusiyyətlərini, şablonunu və tipini dəyişdirə bilərdi. Həmçinin, hər bir səhifənin head elementi daxilində filtrlənmədən render olunan header_extra_content atributunu təyin edərək, səhifə versiyasını təsdiqləyən daha yüksək imtiyazlı nəzərdən keçirənlər də daxil olmaqla, hər bir ziyarətçinin brauzerində icra olunan JavaScript kodlarını yerləşdirə bilərdi. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N vektoru ilə 7.2 CVSS v4.0 balı vermişdir. Hesabat üçün Tenzai şirkətindən Yonatan Droriyə təşəkkürlər.
Necə düzəltmək olar
- concretecms concrete_cms9.5.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| concretecms concrete_cms | 9.2.0 ≤ v < 9.5.3 | 9.5.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.