Concrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/page/bulk/design

Concrete CMS 9 anterior a la versión 9.5.0 tiene una debilidad que permite a atacantes engañar a usuarios para realizar cambios no deseados en diseños en masa de páginas sin su conocimiento. Un atacante puede crear un enlace malicioso que, cuando es clickeado por un usuario autenticado en el CMS, modifica silenciosamente los diseños de las páginas.

Vulnerabilidad de CSRF en el endpoint de diálogo de diseño en masa (concrete/controllers/dialog/page/bulk/design) permite a un atacante falsificar solicitudes en nombre de usuarios autenticados. El ataque requiere interacción del usuario (hacer clic en un enlace malicioso) e introduce modificación no autorizada de la integridad de las páginas. No hay validación de tokens de autenticación en operaciones que cambian el estado del sistema.