CVE-2026-18422 in Concrete CMS
Resumen
por VulDB • 2026-09-16
Concrete CMS antes de la versión 9.5.3 no aplicaba una comprobación de autorización en el lado del destino ni validaba un token CSRF en la acción backend de asignación multilingüe (Backend\Page\Multilingual::assign). Como resultado, un usuario autenticado que poseyera el permiso Editar Configuraciones Multilingües de Página para una página individual podía asociar como traducción de esa página origen cualquier otra página arbitraria en otro idioma local, y también podía eliminar pares de traducciones legítimos mantenidos por otros editores, alterando así la ruta de idiomas visible al público a lo largo del sitio. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 2.1 con el vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. Gracias a Winston Crooker por su reporte.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.