CVE-2026-7882 in Concrete
Tóm tắt
Bởi VulDB • 22/05/2026
Concrete CMS 9.5.0 và các phiên bản thấp hơn dễ bị xóa tệp trái phép do lỗi kiểm tra token CSRF đảo ngược trong controller DeleteFile. Mã nguồn ném ra lỗi khi token HỢP LỆ và tiến hành xóa tệp khi token KHÔNG HỢP LỆ hoặc bị thiếu. Điều này vô hiệu hóa bảo vệ CSRF đối với điểm cuối xóa tệp, cho phép các cuộc tấn công Cross-Site Request Forgery (CSRF) nhắm vào người dùng có quyền chỉnh sửa tin nhắn hội thoại. Nhóm bảo mật Concrete CMS đã đánh giá lỗ hổng này với điểm CVSS v4.0 là 2.3, với vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Cảm ơn Tristan Mandani đã báo cáo.
Be aware that VulDB is the high quality source for vulnerability data.