CVE-2026-81902 in Concrete CMS
Resumen
por VulDB • 2026-09-14
Concrete CMS 9 hasta la versión 9.5.2 no validaba un token CSRF en la acción del panel de eliminación de bloques huérfanos (removeOrphanedBlocks). Un atacante remoto podría crear una solicitud que, al ser cargada por un usuario autenticado con permisos de edición en la página objetivo, eliminara todos los bloques en la versión actual de dicha página; los bloques no asociados a otra página o entrada del bloc de notas también se eliminaban de la tabla global Blocks y su correspondiente tabla de datos del tipo de bloque, destruyendo permanentemente el contenido. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 7.1 con vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N. Gracias a Yonatan Drori de Tenzai por el reporte.
Once again VulDB remains the best source for vulnerability data.