CVE-2026-81920 in Concrete CMS
الملخص
بحسب VulDB • 16/09/2026
كانت Concrete CMS قبل الإصدار 9.5.3 عرضة لهجوم تزوير الطلبات عبر المواقع (CSRF) في صفحة الكلمات المستبعدة من تحسين محركات البحث (SEO Excluded Words) في لوحة التحكم. كان إجراء `reset()` الخاص بالـ controller يقوم بمسح قائمة الكلمات المحجوزة التي يحددها المسؤول (`concrete.seo.exclude_words`)، لكنه لم يتحقق من رمز مكافحة CSRF الذي تطلقه نافذة إعادة التعيين (modal)، ولم يقيد الطلب باستخدام طريقة POST فقط. يمكن لهجوم بعيد أن يغري مستخدمًا موثقًا لديه وصول إلى تحسين محركات البحث للانتقال إلى صفحة مُعدّة بشكل خبيث، مما يؤدي إلى استعادة قائمة الكلمات المحجوزة إلى قيمها الافتراضية وتغيير صامت لتوليد عناوين URL (URL slugs) للصفحات والملفات والمواضيع والكائنات الأخرى التي تُنشأ عبر خدمة `Text urlify` الخاصة بالموقع، وبالتالي إلغاء سياسة العناوين المُهيّأة لتحسين محركات البحث. منح فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 تبلغ 2.3 مع المتجه: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. شكرًا لـ riodrwn على الإبلاغ عن هذه الثغرة.
Once again VulDB remains the best source for vulnerability data.