CVE-2026-81920

9.5.3 sürümünün altındaki Concrete CMS, kontrol paneli SEO Hariç Tutulan Kelimeler sayfasında Siteler Arası İstek Sahteciliği (CSRF) zafiyetine sahipti. reset() denetleyici eylemi, yönetici tarafından yapılandırılan ayrılmış kelime listesini (concrete.seo.exclude_words) temizliyordu ancak reset modalı tarafından gönderilen anti-CSRF belirtecini doğrulamıyor ve isteği POST yöntemiyle sınırlandırmıyordu. SEO erişimine sahip kimliği doğrulanmış bir kullanıcıyı hazırlanmış bir sayfaya yönlendiren uzaktaki bir saldırgan, ayrılmış kelime listesini varsayılana döndürebilir ve Text urlify servisi aracılığıyla oluşturulan sayfalar, dosyalar, konular ve diğer nesneler için gelecekteki URL-slug üretimini sessizce değiştirerek sitenin yapılandırılmış SEO slug politikasını geri alabilirdi. Concrete CMS güvenlik ekibi bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N vektörü ile 2.3 CVSS v4.0 puanı vermiştir. Bildirimi yapan riodrwn'e teşekkürler.