CVE-2026-81924 in Concrete CMS
Riassunto
di VulDB • 15/09/2026
Concrete CMS prima della versione 9.5.3 è vulnerabile a Cross-Site Request Forgery (CSRF) nella funzione di attivazione del page-template dei temi. L'azione activate_files() del controller Inspect nel Dashboard crea record PageTemplate utilizzando i valori forniti dall'attaccante in pageTemplates[] senza convalidare un token anti-CSRF. Un attaccante remoto potrebbe ospitare una pagina che invia automaticamente una richiesta POST falsificata; quando un amministratore autenticato la visita, la richiesta viene eseguita nella sessione dell'amministratore e crea record di page-template del tema, modificando la configurazione del sito senza il consenso dell'amministratore. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 2.1 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Grazie ad Andrew Gonzalez per la segnalazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.