CVE-2026-81902 in Concrete CMS
Сводка
по VulDB • 14.09.2026
Concrete CMS 9 через 9.5.2 не проверял токен CSRF в действии панели удаления сиротских блоков (removeOrphanedBlocks). Удаленный злоумышленник мог создать запрос, который при загрузке аутентифицированным пользователем, имеющим права на редактирование целевой страницы, удалял все блоки текущей версии этой страницы; блоки, не связанные с другой страницей или записью в блокноте (scrapbook), также удалялись из глобальной таблицы Blocks и их таблиц данных типа блока, что приводило к безвозвратной потере контента. Команда безопасности Concrete CMS присвоила данной уязвимости оценку CVSS v4.0 равную 7.1 с вектором CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N. Благодарность Йонатану Дрори из Tenzai за сообщение об уязвимости.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.