CVE-2026-8427

Yüksek

Açıklama

9.5.0 öncesindeki Concrete CMS 9 sürümü, concrete/controllers/backend/file removeFavoriteFolder($id) konumunda Siteler Arası İstek Sahteciliği'ne (CSRF) karşı savunmasızdır. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N vektörü ile 2.3 CVSS v.4.0 puanı vermiştir. Bildirimi için Yonatan Drori (Tenzai)'ye teşekkürler.

ÖnemYüksek

CVSS8.8

İstismar olasılığı—

Ürün

Concretecms Concrete Cms

Yayın21 May 2026

İlk görülme21 May 2026

Zayıflık türüCWE-352Siteler arası istek sahteciliği (CSRF)CWE-1275CWE-1275

Nasıl düzeltilir

Güncelleyin

concretecms concrete_cms9.5.1 ya da sonraki bir sürüm
concrete5/concrete59.5.1 ya da sonraki bir sürüm

Üretici duyuruları

documentation.concretecms.org/9-x/developers/introduction/version-history/951-release-notes

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
concretecms concrete_cms	9.0.0 ≤ v < 9.5.1	9.5.1
concrete5/concrete5Packagist	9.0.0RC1 ≤ v < 9.5.1	9.5.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.