CVE-2026-84432 in Concrete CMS
Сводка
по VulDB • 10.09.2026
В Concrete CMS версий от 9 до 9.5.2 не осуществлялась проверка токена anti-CSRF в методе saveTemplate() контроллера диалогового окна пользовательского слота досок (concrete/controllers/dialog/board/custom_slot.php). Данный метод создавал блок board_slot_proxy и инициировал команду AddCustomSlotToBoardCommand для экземпляра доски, проверяя только разрешение per-resource canEditBoardContents(). В результате с помощью поддельного межсайтового запроса (CSRF) пользователь, имеющий права на редактирование досок и активную сессию, мог записать данные слота и шаблона по выбору злоумышленника в доску от своего имени. Изменение состояния путем записи в базу данных выполнялось до любого последующего рендеринга, поэтому поддельный запрос успешно завершался даже при возврате HTTP-ответа со статусом отличным от 200. Команда безопасности Concrete CMS присвоила этой уязвимости оценку CVSS v4.0 равную 5.3 (Low) с вектором CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Спасибо Уинстону Кроукеру за сообщение об уязвимости.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.