CVE-2026-81912 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 11.
Concrete CMS 9.5.3 이전 버전은 Move Multiple Groups 기능에서 Cross-Site Request Forgery(CSRF) 취약점에 노출되어 있습니다. dashboard/users/groups/bulkupdate/confirm() 엔드포인트는 작업 토큰(action token)을 검증하지 않고 선택된 그룹 트리의 노드를 이동시켰으므로, 인증된 사용자가 직접 요청하지 않은 상태 변경(group move)이 처리될 수 있습니다. 특정 그룹을 새로운 상위(parent) 그룹 아래로 재배치하면 해당 그룹의 구성원이 상위 그룹의 권한을 상속받게 되므로, 위조된(move forged) 작업은 유효한(authorization) 권한 수준을 변경할 수 있습니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 5.7 (벡터: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N)을 부여했습니다. 보고해 주신 riodrwn 님께 감사드립니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.