CVE-2026-81902 in Concrete CMS
要約
〜によって VulDB • 2026年09月14日
Concrete CMS 9 から 9.5.2 では、孤立したブロックの削除パネルアクション（removeOrphanedBlocks）において CSRF トークンの検証が行われていません。攻撃者はリクエストを仕向け、編集権限を持つ認証済みユーザーがそのページを読み込むことで、対象ページの現在のバージョンにあるすべてのブロックを削除できます。他のページやスクラップブックエントリにエイリアスされていないブロックは、グローバル Blocks テーブルおよびブロックタイプデータテーブルからも削除され、コンテンツが永久的に破壊されます。Concrete CMS のセキュリティチームはこの脆弱性に対して CVSS v4.0 スコア 7.1（ベクトル: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N）を付与しました。報告してくれた Tenzai の Yonatan Drori に感謝します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.