CVE-2026-81920 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 15.
Concrete CMS 9.5.3 미만 버전은 대시보드의 SEO 제외 단어 페이지에서 Cross-Site Request Forgery(CSRF) 취약점에 노출되어 있었습니다. reset() 컨트롤러 액션은 관리자가 구성한 예약어 목록(concrete.seo.exclude_words)을 초기화했지만, 리셋 모달이 생성하는 anti-CSRF 토큰의 유효성을 검증하지 않았으며 요청을 POST 메서드로 제한하지도 않았습니다. SEO 접근 권한이 있는 인증된 사용자를 조작된 페이지로 유인한 원격 공격자는 예약어 목록을 기본값으로 되돌릴 수 있으며, 이를 통해 Text urlify 서비스를 통해 생성되는 페이지, 파일, 주제 및 기타 객체의 향후 URL 슬러그 생성을 사적으로 변경하여 사이트의 구성된 SEO 슬러그 정책을 무효화할 수 있습니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 2.3 (벡터: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N)을 부여했습니다. 보고해 주신 riodrwn 님께 감사드립니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.