CVE-2026-81913
Açıklama
Concrete CMS 9.5.0 ile 9.5.2 arasındaki sürümler, rcURL parametresi üzerinden Açık Yönlendirme (Open Redirect) zafiyetine sahiptir. Bir saldırgan, kullanıcının kimlik doğrulamasından hemen sonra rastgele bir harici siteye yönlendirilmesini sağlayan ve sitenin kendi alan adında yer alan tek bir bağlantı oluşturarak oltalama ve kimlik bilgisi hırsızlığını kolaylaştırabilir. Aynı işlem süreci kayıt akışında da mevcut olduğundan, kaydı etkinleştirilmiş sitelerde ikinci bir giriş noktası sağlamaktadır. 9.5.0 öncesindeki Concrete CMS sürümleri rcURL parametresini veya bu izin listesini içermediği için etkilenmemektedir. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N vektörü ile 5.3 CVSS v4.0 puanı vermiştir. Bildirimi yapan Michal M.'e teşekkürler.
Nasıl düzeltilir
- concretecms concrete_cms9.5.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | 9.5.0 ≤ v < 9.5.3 | 9.5.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.