CVE-2026-18422
Açıklama
9.5.3 sürümünden önceki Concrete CMS, çok dilli sayfa atama arka uç işleminde (Backend\Page\Multilingual::assign) hedef taraf yetkilendirme kontrolünü uygulamamış ve bir CSRF belirtecini doğrulamamıştır. Sonuç olarak, tek bir sayfada Edit Page Multilingual Settings iznine sahip kimliği doğrulanmış bir kullanıcı, başka bir yereldeki rastgele bir sayfayı kaynak sayfanın çevirisi olarak bağlayabilir ve diğer editörler tarafından tutulan meşru çeviri çiftlerini silerek site genelindeki halka açık dil yönlendirmesini değiştirebilir. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N vektörü ile 2.1 CVSS v4.0 puanı vermiştir. Bildirim için Winston Crooker'a teşekkürler.
Nasıl düzeltilir
- concretecms concrete_cms9.5.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | v < 9.5.3 | 9.5.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.