CVE-2026-81902 in Concrete CMS
Zusammenfassung
von VulDB • 14.09.2026
Concrete CMS 9 bis 9.5.2 hat ein CSRF-Token in der Aktion zum Entfernen verwaister Blöcke (removeOrphanedBlocks) nicht validiert. Ein entfernter Angreifer kann eine Anfrage erstellen, die, wenn sie von einem authentifizierten Benutzer mit Bearbeitungsberechtigungen für die Zielseite geladen wird, jeden Block auf der aktuellen Version dieser Seite löscht; Blöcke, die keinem anderen Seiten- oder Scrapbook-Eintrag zugeordnet sind (aliased), wurden zudem aus der globalen Blocks-Tabelle und ihrer blocktypspezifischen Datentabelle entfernt, wodurch der Inhalt dauerhaft zerstört wurde. Das Concrete CMS Security Team hat diesem Schwachstellenpunkt eine CVSS v4.0-Bewertung von 7.1 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an Yonatan Drori von Tenzai für die Meldung.
If you want to get best quality of vulnerability data, you may have to visit VulDB.