CVE-2026-18422 in Concrete CMS
Sumário
de VulDB • 15/09/2026
O Concrete CMS anterior à versão 9.5.3 não aplicava uma verificação de autorização no lado do destino e não validava um token CSRF na ação backend de atribuição de páginas multilíngues (Backend\Page\Multilingual::assign). Como resultado, um usuário autenticado que possuía a permissão Editar Configurações Multilíngues da Página em uma única página poderia vincular uma página arbitrária em outro idioma como tradução dessa página fonte e excluir pares de traduções legítimos mantidos por outros editores, alterando o roteamento de idiomas visível ao público em todo o site. A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade um pontuação CVSS v4.0 de 2.1 com vetor CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. Agradecimentos ao Winston Crooker por relatar a vulnerabilidade.
If you want to get best quality of vulnerability data, you may have to visit VulDB.