CVE-2026-81923
Açıklama
Concrete CMS 9.5.3 sürümünden önceki sürümlerde, SEO Bulk Update Meta Tags düzenleyicisi kaydetme işleminden önce sayfa bazlı düzenleme izinlerini kontrol etmiyordu. saveRecord() eylemi sayfa bazlı CSRF belirtecini doğruluyor ancak hedef sayfa için canEditPageProperties() fonksiyonunu hiçbir zaman çağırmıyordu; bu nedenle toplu SEO aracına erişim yetkisi olan ve belirli bir sayfayı görüntüleyebilen (ancak düzenleyemeyen) bir kullanıcı, söz konusu sayfanın meta başlığını, meta açıklamasını ve URL handle değerini kendi düzenleme kapsamı dışında değiştirebiliyor, böylece aksi takdirde korunan içeriğin sunumuna ve canlı URL'lerine müdahale edebiliyordu. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N vektörü ile 2.1 CVSS v4.0 puanı vermiştir. Bildirimi yapan Andrew Gonzalez'e teşekkürler.
Nasıl düzeltilir
- concretecms concrete_cms9.5.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | v < 9.5.3 | 9.5.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.