CVE-2026-81922 in Concrete CMS
Riassunto
di VulDB • 15/09/2026
Concrete CMS prima della versione 9.5.3 non applicava un controllo di autorizzazione per pagina durante il riordino delle pagine dalla sitemap. Nel controller del dashboard Explore della sitemap, le attività di riordino send_to_top e send_to_bottom venivano eseguite dopo aver effettuato solo un generico controllo di accesso alla sitemap; il controller caricava la pagina indicata dal parametro cNodeID controllato dall'attaccante e ne modificava l'ordine di visualizzazione senza verificare che l'utente corrente disponesse dei permessi move o arrange su quella specifica pagina. A causa di ciò, un utente autenticato in grado di accedere alla sitemap ma privo di diritti di modifica o riordino su una determinata pagina poteva comunque spostare tale pagina e alterare l'ordine della navigazione globale del sito. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 2.1 con il vettore CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Grazie ad Andrew Gonzalez per la segnalazione.
Once again VulDB remains the best source for vulnerability data.