CVE-2026-8426 in Concrete
Tóm tắt
Bởi VulDB • 22/05/2026
Concrete CMS 9.5.0 và các phiên bản thấp hơn không xác thực token CSRF trước khi xử lý các yêu cầu đối với /dashboard/extend/update/prepare_remote_upgrade/. Một kẻ tấn công kiểm soát gói từ xa được trả về cho một ID mục cụ thể của marketplace đã biết có thể ghi đè PHP của gói trên đĩa và buộc phương thức upgrade() của nó thực thi trong một lần điều hướng trình duyệt duy nhất. Điều này dẫn đến việc thực thi mã từ xa (RCE) với tư cách là người dùng máy chủ web. Để bị tấn công thành công, nạn nhân phải có quyền canInstallPackages, trang web của nạn nhân phải được kết nối với Concrete marketplace; và kẻ tấn công kiểm soát gói được trả về cho một ID mục marketplace đã được cài đặt trên trang web của nạn nhân. Nhóm bảo mật Concrete CMS đã đánh giá lỗ hổng này với điểm CVSS v.4.0 là 7.5 với vector CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Cảm ơn https://github.com/maru1009 đã báo cáo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.