CVE-2026-81924
Təsvir
Concrete CMS 9.5.3 versiyasından əvvəlki versiyalarda mövzu səhifə-şablonunun aktivləşdirilməsi funksiyasında Saytlararası Sorğu Saxtalaşdırılmasına (CSRF) qarşı həssaslıq mövcuddur. Dashboard mövzusunun Inspect kontrollerinin activate_files() hərəkəti, anti-CSRF tokenini yoxlamadan hücumçunun təqdim etdiyi pageTemplates[] dəyərləri əsasında PageTemplate qeydləri yaradırdı. Uzaqdakı bir hücumçu avtomatik olaraq saxta POST sorğusu göndərən səhifə yerləşdirə bilərdi; sistemə daxil olmuş administrator həmin səhifəni ziyarət etdikdə, sorğu administratorun sessiyası altında icra olunurdu və administratorun razılığı olmadan sayt konfiqurasiyasını dəyişdirərək mövzu səhifə-şablonu qeydləri yaradırdı. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N vektoru ilə 2.1 CVSS v4.0 balı vermişdir. Hesabat üçün Andrew Gonzalez-ə təşəkkürlər.
Necə düzəltmək olar
- concretecms concrete_cms9.5.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| concretecms concrete_cms | v < 9.5.3 | 9.5.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.