CVE-2026-81926
Açıklama
Concrete CMS 9.4.0 ile 9.5.2 arasındaki sürümler, çakışan sayfa yollarını konum panelinin kopya yol onay iletişim kutusunda işlemeden önce temizlememiştir. Panelin kontrol uç noktası, gönderilen yolu JSON yanıtında değiştirilmemiş olarak döndürmüş ve istemci tarafındaki JavaScript her bir değeri ham HTML olarak iletişim kutusuna eklemiştir; bu nedenle, özel olarak hazırlanmış bir sayfa yolu, düzenleyicinin kimliği doğrulanmış tarayıcı oturumunda betik çalıştırmıştır. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N vektörü ile 2.0 CVSS v4.0 puanı vermiştir. Bildirim için Tenzai'den Yonatan Drori'ye teşekkürler.
Nasıl düzeltilir
- concretecms concrete_cms9.5.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | 9.4.0 ≤ v < 9.5.3 | 9.5.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.