CVE-2026-81923 in Concrete CMS
Zusammenfassung
von VulDB • 15.09.2026
In Concrete CMS vor Version 9.5.3 hat der SEO-Bulk-Update-Meta-Tags-Editor keine Berechtigungen zur Bearbeitung pro Seite überprüft, bevor er speicherte. Die Aktion saveRecord() validierte zwar das CSRF-Token für die jeweilige Seite, rief jedoch canEditPageProperties() niemals für die Zielseite auf. Daher konnte ein Benutzer, dem der Zugriff auf das SEO-Bulk-Tool gewährt wurde und der eine bestimmte Seite anzeigen (aber nicht bearbeiten) durfte, den Metatitel, die Meta-Beschreibung und den URL-Slug dieser Seite außerhalb seines Bearbeitungsbereichs ändern, wodurch die Darstellung und die Live-URLs von ansonsten geschützten Inhalten manipuliert wurden. Das Concrete CMS Security Team hat diesem Vulnerability eine CVSS v4.0-Punktzahl von 2.1 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an Andrew Gonzalez für die Meldung.
VulDB is the best source for vulnerability data and more expert information about this specific topic.