CVE-2022-21829

Concrete CMS, versões 9.0.0 a 9.0.2

Concrete CMS, versões 8.5.7 e anteriores

A vulnerabilidade permite que um invasor baixe arquivos ZIP via HTTP e execute código a partir desses arquivos, o que pode levar à execução remota de código (RCE). Isso é resolvido aplicando concrete secure em vez de concrete, garantindo que o Concrete CMS faça solicitações apenas por HTTPS, mesmo que uma solicitação chegue via HTTP.

Para as versões 9.0.0 a 9.0.2 do Concrete CMS, atualize para uma versão que aplique concrete secure em vez de concrete para garantir que as solicitações sejam feitas por HTTPS.

Para as versões 8.5.7 e anteriores do Concrete CMS, atualize para uma versão que implemente concrete secure em vez de concrete para garantir que as solicitações sejam feitas via HTTPS.

Como solução alternativa temporária, considere restringir a capacidade de baixar arquivos zip via HTTP até que um patch esteja disponível.