CVE-2026-8413lowCWE-1275CWE-352

CVE-2026-8413: fallo de gravedad baja en Concrete CMS

Concrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/page/bulk/design

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Concrete CMS+ Monitorear concrete5/concrete5

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 2.3epss 0.1%
En resumen

Concrete CMS 9 anterior a la versión 9.5.0 tiene una debilidad que permite a atacantes engañar a usuarios para realizar cambios no deseados en diseños en masa de páginas sin su conocimiento. Un atacante puede crear un enlace malicioso que, cuando es clickeado por un usuario autenticado en el CMS, modifica silenciosamente los diseños de las páginas.

Detalle técnico

Vulnerabilidad de CSRF en el endpoint de diálogo de diseño en masa (concrete/controllers/dialog/page/bulk/design) permite a un atacante falsificar solicitudes en nombre de usuarios autenticados. El ataque requiere interacción del usuario (hacer clic en un enlace malicioso) e introduce modificación no autorizada de la integridad de las páginas. No hay validación de tokens de autenticación en operaciones que cambian el estado del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.
Concrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/page/bulk/design. The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 2.3 with vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Thanks Yonatan Drori (Tenzai) for reporting.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Productos afectados
Concrete CMS · Concrete CMS
CVEs relacionadas — Concrete CMS

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-18110HIGHConcrete CMS 9.0.0 through 9.5.2 is vulnerable to missing authorization in the user selector autocomplete endpoint (/ccm/system/user/autocomplete), allowing an unauthenticated attacker to retrieve the complete backend user directory — internal ID, usernameEPSS 1.6%CVE-2026-6826MEDIUMConcrete 9.5.0 and below has file usage disclosure via missing permission check in Usage controllerEPSS 1.5%CVE-2024-1247LOWConcrete CMS version 9 before 9.2.5 vulnerable to stored XSS via the Role Name fieldEPSS 1.2%CVE-2026-8134CRITICALConcrete CMS 9.5.0 and below is vulnerable to Authenticated RCE via Composer customTemplate Path Traversal leading to PHP File InclusionEPSS 0.7%CVE-2026-3452HIGHConcrete CMS below 9.4.8 is vulnerable to stored deserialization leading to RCE in the Express Entry List block.EPSS 0.7%CVE-2011-3183—CVE-2011-3183EPSS 0.7%