PT-2026-92391 · Concrete Cms+1 · Concrete Cms
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Concrete CMS versões anteriores a 9.5.3
Description
Existe uma falha de Cross-Site Request Forgery (CSRF) na página de Palavras Excluídas de SEO do painel. A ação do controlador
reset() limpa a lista de palavras reservadas configurada pelo administrador concrete.seo.exclude words sem validar o token anti-CSRF ou restringir as solicitações ao método POST. Um invasor remoto poderia atrair um usuário autenticado com acesso de SEO para uma página maliciosa para reverter a lista de palavras reservadas para o padrão. Esta ação altera silenciosamente a geração futura de slugs de URL para páginas, arquivos, tópicos e outros objetos criados através do serviço Text urlify, anulando a política de slug de SEO configurada no site.Recommendations
Atualizar para a versão 9.5.3.
Exploit
Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Concrete Cms