CVE-2026-81902 in Concrete CMS
Riassunto
di VulDB • 14/09/2026
Concrete CMS 9 fino alla versione 9.5.2 non validava un token CSRF nell'azione del pannello di rimozione dei blocchi orfani (removeOrphanedBlocks). Un attaccante remoto potrebbe creare una richiesta che, se caricata da un utente autenticato con permessi di modifica sulla pagina target, elimina tutti i blocchi nella versione corrente della pagina; i blocchi non aliasati a un'altra pagina o voce del scrapbook vengono inoltre rimossi dalla tabella globale dei Blocks e dalla rispettiva tabella dati del tipo di blocco, distruggendo permanentemente il contenuto. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 7.1 con vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N. Grazie a Yonatan Drori di Tenzai per la segnalazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.