CVE-2026-81923
Təsvir
Concrete CMS 9.5.3 versiyasından əvvəlki versiyalarda, SEO Bulk Update Meta Tags redaktoru yadda saxlamadan əvvəl səhifə üzrə redaktə icazələrini yoxlamırdı. saveRecord() hərəkəti səhifə üçün CSRF tokenini təsdiqləyirdi, lakin hədəf səhifə üçün heç vaxt canEditPageProperties() funksiyasını çağırmırdı. Buna görə də, toplu SEO alətinə giriş hüququ olan və müəyyən bir səhifəni görə bilən (lakin redaktə edə bilməyən) istifadəçi, həmin səhifənin meta başlığını, meta təsvirini və URL handle hissəsini öz redaktə səlahiyyətləri xaricində dəyişdirə bilir və bununla da qorunan məzmunun təqdimatına və canlı URL-lərinə müdaxilə edə bilirdi. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N vektoru ilə 2.1 CVSS v4.0 balı vermişdir. Hesabat verdiyi üçün Andrew Gonzalez-ə təşəkkürlər.
Necə düzəltmək olar
- concretecms concrete_cms9.5.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| concretecms concrete_cms | v < 9.5.3 | 9.5.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.