CVE-2026-81924 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 17.
Concrete CMS 9.5.3 이전 버전은 테마의 page-template 활성화 기능에서 Cross-Site Request Forgery (CSRF) 취약점이 있습니다. 대시보드 테마 Inspect 컨트롤러의 activate_files() 액션이 anti-CSRF 토큰을 검증하지 않고 공격자가 제공한 pageTemplates[] 값으로부터 PageTemplate 레코드를 생성했습니다. 원격 공격자는 위조된 POST 요청을 자동 제출하는 페이지를 호스팅할 수 있으며, 로그인한 관리자가 해당 페이지에 접속하면 그 요청은 관리자 세션의 권한으로 실행되어 테마 page-template 레코드를 생성하고 관리자의 동의 없이 사이트 구성을 변경합니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 2.1 (벡터: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N)을 부여했습니다. 보고해 주신 Andrew Gonzalez님께 감사드립니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.