CVE-2026-8426

إصدارات Concrete CMS الأقدم من 9.5.1

يفشل نظام إدارة المحتوى Concrete CMS في التحقق من صحة رمز تزوير الطلبات عبر المواقع (CSRF) — وهو قيمة فريدة تُستخدم لمنع إرسال أوامر غير مصرح بها من مستخدم يثق به تطبيق الويب — قبل معالجة الطلبات الموجهة إلى نقطة النهاية ’/dashboard/extend/update/prepare remote upgrade/‘. يمكن للمهاجم الذي يتحكم في الحزمة البعيدة التي يتم إرجاعها لمعرف عنصر معروف في السوق أن يقوم بالكتابة فوق ملف PHP الخاص بالحزمة على القرص وإجبار الدالة upgrade() على التنفيذ عبر عملية تنقل واحدة في المتصفح. يؤدي هذا إلى تنفيذ التعليمات البرمجية عن بُعد بصفته مستخدم خادم الويب. ولكي يكون ذلك ممكنًا، يجب أن يتمتع الضحية بأذونات canInstallPackages، ويجب أن يكون الموقع متصلاً بسوق Concrete، ويجب أن يتحكم المهاجم في الحزمة التي يتم إرجاعها لمعرف عنصر في السوق مثبت بالفعل على موقع الضحية.

قم بالتحديث إلى إصدار أحدث من 9.5.0.