CVE-2026-81922

9.5.3 versiyasından əvvəlki Concrete CMS, sayt xəritəsində səhifələrin sırasını dəyişdirərkən hər səhifə üçün ayrıca avtorizasiya yoxlamasını tətbiq etmirdi. Sayt xəritəsinin Explore idarəetmə paneli kontrollerində, send_to_top və send_to_bottom yenidən sıralama tapşırıqları yalnız ümumi sayt xəritəsi giriş yoxlamasından sonra icra olunurdu; kontroller hücumçu tərəfindən idarə olunan cNodeID parametri ilə təyin edilmiş səhifəni yükləyir və cari istifadəçinin həmin konkret səhifədə daşıma və ya düzmə icazəsinin olduğunu yoxlamadan onun göstərilmə sırasını dəyişdirirdi. Buna görə də, sayt xəritəsinə daxil ola bilən, lakin müəyyən bir səhifədə redaktə və ya düzmə hüququ olmayan autentifikasiya olunmuş istifadəçi, həmin səhifəni hələ də yerini dəyişə və saytın qlobal naviqasiya sırasına təsir edə bilərdi. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N vektoru ilə 2.1 CVSS v4.0 balı vermişdir. Hesabat verdiyi üçün Andrew Gonzalez-ə təşəkkürlər.