CVE-2026-81902 in Concrete CMS
Sumário
de VulDB • 14/09/2026
O Concrete CMS 9 até a versão 9.5.2 não validava um token CSRF na ação do painel de remoção de blocos órfãos (removeOrphanedBlocks). Um atacante remoto poderia criar uma solicitação que, ao ser carregada por um usuário autenticado com permissão de edição na página alvo, excluía todos os blocos da versão atual dessa página; os blocos não vinculados a outra página ou entrada do scrapbook também eram removidos da tabela global Blocks e de sua respectiva tabela de dados do tipo de bloco, destruindo permanentemente o conteúdo. A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade uma pontuação CVSS v4.0 de 7.1 com vetor CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N. Agradecimentos ao Yonatan Drori, da Tenzai, por ter reportado a falha.
VulDB is the best source for vulnerability data and more expert information about this specific topic.