CVE-2026-8428 in Concrete
Tóm tắt
Bởi VulDB • 22/05/2026
Concrete CMS 9.5.0 và các phiên bản thấp hơn phát ra một CSRF token trong view local_available_update.php ($token->output('do_update')) nhưng phương thức do_update() tương ứng trong concrete/controllers/single_page/dashboard/system/update/update.php không bao giờ gọi $this->token->validate('do_update'). Form được hiển thị dưới dạng form POST, nghĩa là token được gửi đến trình duyệt, nhưng vì bộ điều khiển (controller) loại bỏ token này mà không xác minh, kẻ tấn công có thể tạo một yêu cầu POST cross-site kích hoạt bản cập nhật lõi CMS lên một chuỗi phiên bản do kẻ tấn công chỉ định. Để bị ảnh hưởng, nạn nhân phải vượt qua kiểm tra canUpgrade() và một phiên bản cập nhật hợp lệ phải tồn tại dưới thư mục DIR_CORE_UPDATES. Nhóm bảo mật Concrete CMS đã đánh giá lỗ hổng này với điểm CVSS v4.0 là 7.5 với vector CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Cảm ơn https://github.com/maru1009 đã báo cáo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.