CVE-2026-81912

Nome do Software Vulnerável e Versões Afetadas Concrete CMS versões anteriores a 9.5.3

Descrição Existe uma falha de Cross-Site Request Forgery (CSRF) no recurso Move Multiple Groups. O endpoint 'dashboard/users/groups/bulkupdate/confirm()' permite mover nós da árvore de grupos selecionados sem validar um token de ação. Isso permite que uma movimentação de grupo que altera o estado seja processada para um usuário autenticado que não iniciou a solicitação. Como a realocação de um grupo sob um novo pai faz com que os membros herdem as permissões do pai, uma movimentação forjada pode alterar a autorização efetiva.

Recomendações Atualize para a versão 9.5.3.