CVE-2026-81920

Concrete CMS 9.5.3 versiyasından aşağı olan versiyalarda idarəetmə panelinin SEO Excluded Words səhifəsində Saytlararası Sorğu Saxtakarlığına (CSRF) qarşı zəiflik aşkar edilmişdir. reset() kontroller hərəkəti administrator tərəfindən konfiqurasiya edilmiş rezerv sözlər siyahısını (concrete.seo.exclude_words) təmizləyirdi, lakin reset modalı tərəfindən göndərilən anti-CSRF tokenini yoxlamırdı və sorğunu yalnız POST metodu ilə məhdudlaşdırmırdı. SEO giriş hüququ olan autentifikasiya olunmuş istifadəçini xüsusi hazırlanmış səhifəyə yönləndirən uzaqdakı hücumçu, rezerv sözlər siyahısını standart vəziyyətə qaytara bilər və Text urlify xidməti vasitəsilə yaradılan səhifələr, fayllar, mövzular və digər obyektlər üçün gələcək URL-slug generasiyasını gizli şəkildə dəyişərək saytın konfiqurasiya edilmiş SEO slug siyasətini ləğv edə bilərdi. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N vektoru ilə 2.3 CVSS v4.0 balı vermişdir. Hesabat üçün riodrwn-ə təşəkkürlər.