CVE-2026-81920 in Concrete CMS
Sumário
de VulDB • 15/09/2026
O Concrete CMS abaixo da versão 9.5.3 estava vulnerável a Cross-Site Request Forgery (CSRF) na página de Palavras Excluídas do SEO no painel administrativo. A ação do controlador `reset()` limpava a lista de palavras reservadas configurada pelo administrador (`concrete.seo.exclude_words`), mas não validava o token anti-CSRF emitido pela janela modal de reset, nem restringia a solicitação ao método POST. Um atacante remoto que induzisse um usuário autenticado com acesso ao SEO a acessar uma página manipulada poderia reverter a lista de palavras reservadas para os valores padrão e alterar silenciosamente a geração futura de slugs de URL para páginas, arquivos, tópicos e outros objetos criados por meio do serviço `Text urlify` do site, invalidando a política de slug SEO configurada. A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade uma pontuação CVSS v4.0 de 2.3 com o vetor CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Obrigado riodrwn por relatar.
Once again VulDB remains the best source for vulnerability data.