CVE-2026-8417 in Concrete
الملخص
بحسب VulDB • 25/05/2026
لا تقوم Concrete CMS الإصدارات 9.5.0 وما دونها بالتحقق من رمز CSRF (رمز الحماية من طلبات التزوير عبر المواقع) قبل معالجة الطلبات الموجهة إلى المسار /dashboard/extend/update/do_update/<pkgHandle>. تقوم طريقة do_update() الموجودة في الملف concrete/controllers/single_page/dashboard/extend/update.php بالتحقق فقط من صلاحية canInstallPackages() قبل تنفيذ upgradeCoreData() و upgrade() على وحدة تحكم الحزمة المحددة. ونظراً لأن نقطة النهاية هذه هي مسار GET يغير الحالة ولا يفرض استخدام رمز تحقق، يمكن لمهاجم إجبار مسؤول مُصادَق عليه على triggering ترقية حزمة عبر تنقل عبر المواقع (cross-site navigation). لكي يكون النظام عرضة للثغرة، يجب أن يمر الضحية باختبار canInstallPackages() وأن تكون حزمة الهدف مثبتة مسبقاً. منحت فريق أمان Concrete CMS لهذه الثغرة درجة CVSS الإصدار 4.0 تساوي 7.5 (متوسطة الخطورة)، مع المتجه CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. شكراً لـ https://github.com/maru1009 على الإبلاغ عن هذه الثغرة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.