CVE-2026-81901
Açıklama
Concrete CMS 9.2.0 ile 9.5.2 sürümleri arasında, REST API sayfa güncelleme uç noktası (PUT /ccm/api/1.0/pages/{cID}), page-property, page-template veya page-type yetkilendirmesini zorunlu kılmamaktaydı. Bu nedenle, bir sayfada yalnızca içerik düzenleme haklarına sahip olan bir kullanıcı; API üzerinden sayfanın özelliklerini, şablonunu ve türünü değiştirebilir ve her sayfanın head öğesine kaçış karakterleri uygulanmadan aktarılan header_extra_content özniteliğini ayarlayarak, sayfa versiyonunu onaylayan yüksek yetkili inceleyiciler dahil olmak üzere her ziyaretçinin tarayıcısında çalışan JavaScript kodları kalıcı hale getirebilirdi. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N vektörü ile 7.2 CVSS v4.0 puanı vermiştir. Bildirimde bulunduğu için Tenzai'den Yonatan Drori'ye teşekkürler.
Nasıl düzeltilir
- concretecms concrete_cms9.5.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | 9.2.0 ≤ v < 9.5.3 | 9.5.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.