CVE-2026-81902 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 14.
Concrete CMS 9부터 9.5.2까지 orphaned block 제거 패널 액션(removeOrphanedBlocks)에서 CSRF 토큰을 검증하지 않았습니다. 원격 공격자가 타겟 페이지에 대한 편집 권한이 있는 인증된 사용자가 로드하도록 설계된 요청을 생성하면, 해당 페이지의 현재 버전에서 모든 블록이 삭제됩니다; 다른 페이지나 scrapbook 항목과 별칭(alias)으로 연결되지 않은 블록은 전역 Blocks 테이블 및 block-type 데이터 테이블에서도 제거되어 콘텐츠가 영구적으로 파괴됩니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 7.1을 부여했으며, 벡터는 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N입니다. 보고해 주신 Tenzai의 Yonatan Drori님께 감사드립니다.
Once again VulDB remains the best source for vulnerability data.