PT-2026-92391

CVE-2026-81920

Publicado

2026-09-15

Atualizado

2026-09-15

Descrição por

CVSS 3.1

4.3

Média

MétricasAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Concrete CMS versões anteriores a 9.5.3

Description Existe uma falha de Cross-Site Request Forgery (CSRF) na página de Palavras Excluídas de SEO do painel. A ação do controlador reset() limpa a lista de palavras reservadas configurada pelo administrador concrete.seo.exclude words sem validar o token anti-CSRF ou restringir as solicitações ao método POST. Um invasor remoto poderia atrair um usuário autenticado com acesso de SEO para uma página maliciosa para reverter a lista de palavras reservadas para o padrão. Esta ação altera silenciosamente a geração futura de slugs de URL para páginas, arquivos, tópicos e outros objetos criados através do serviço Text urlify, anulando a política de slug de SEO configurada no site.

Recommendations Atualizar para a versão 9.5.3.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Riodrwn

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-352: Cross-Site Request Forgery (CSRF)

Identificadores relacionados