CVE-2026-81922 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 15.
Concrete CMS 9.5.3 이전 버전은 사이트맵에서 페이지 순서를 변경할 때 페이지별 권한 검사를 강제하지 않았습니다. 사이트맵 탐색 대시보드 컨트롤러의 send_to_top 및 send_to_bottom 재정렬 작업은 일반적인 사이트맵 접근 검사 후에만 실행되었으며, 컨트롤러는 공격자가 제어하는 cNodeID 매개변수로 지정된 페이지를 로드하고 해당 페이지에 대한 이동 또는 배열 권한이 현재 사용자에게 있는지 확인하지 않고 표시 순서를 변경했습니다. 이로 인해 사이트맵에는 액세스할 수 있지만 특정 페이지에 대해 편집 또는 배열 권한이 없는 인증된 사용자도 해당 페이지를 이동하여 사이트의 글로벌 탐색 순서를 변경할 수 있었습니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 2.1을 부여했으며, 벡터는 CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N입니다. 보고해 주신 Andrew Gonzalez님께 감사드립니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.