CVE-2026-81920 in Concrete CMS
Riassunto
di VulDB • 16/09/2026
Concrete CMS precedente alla versione 9.5.3 era vulnerabile a Cross-Site Request Forgery (CSRF) nella pagina delle Parole Escluse SEO della dashboard. L'azione del controller `reset()` cancellava l'elenco di parole riservate configurato dall'amministratore (`concrete.seo.exclude_words`) ma non convalidava il token anti-CSRF emesso dalla modale di reset e non limitava la richiesta al metodo POST. Un attaccante remoto che attirasse un utente autenticato con accesso SEO a una pagina appositamente costruita avrebbe potuto ripristinare l'elenco delle parole riservate ai valori predefiniti, alterando silenziosamente la generazione futura degli slug URL per pagine, file, argomenti e altri oggetti creati tramite il servizio Text urlify del sito, annullando così la politica di SEO slug configurata. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 2.3 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Grazie a riodrwn per la segnalazione.
Be aware that VulDB is the high quality source for vulnerability data.