CVE-2026-8415lowCWE-1275CWE-352

CVE-2026-8415: fallo de gravedad baja en Concrete CMS

Concrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/express/association/reorder

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Concrete CMS+ Monitorear concrete5/concrete5

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 2.3epss 0.1%
En resumen

Concrete CMS 9 anterior a la versión 9.5.0 tiene una debilidad de seguridad que permite a atacantes engañar a usuarios para que realicen acciones indeseadas en el sitio, como reordenar elementos, sin el conocimiento del usuario. Esto ocurre porque el sistema no verifica adecuadamente que las solicitudes sean legítimas.

Detalle técnico

Existe una vulnerabilidad de Falsificación de Solicitud Entre Sitios (CSRF) en el endpoint de reordenación de asociaciones express (concrete/controllers/dialog/express/association/reorder) debido a validación insuficiente de solicitudes. Un atacante no autenticado puede crear una página maliciosa que, cuando es visitada por un administrador autenticado, realiza reordenación no autorizada de asociaciones express a través de su sesión de navegador. El ataque requiere interacción del usuario (visitar un sitio malicioso) y tiene bajo impacto de integridad.

Resumen generado y traducido por IA a partir de la descripción oficial.
Concrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/express/association/reorder. The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 2.3 with vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Thanks Yonatan Drori (Tenzai) for reporting.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Productos afectados
Concrete CMS · Concrete CMS
CVEs relacionadas — Concrete CMS

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-18110HIGHConcrete CMS 9.0.0 through 9.5.2 is vulnerable to missing authorization in the user selector autocomplete endpoint (/ccm/system/user/autocomplete), allowing an unauthenticated attacker to retrieve the complete backend user directory — internal ID, usernameEPSS 1.6%CVE-2026-6826MEDIUMConcrete 9.5.0 and below has file usage disclosure via missing permission check in Usage controllerEPSS 1.5%CVE-2024-1247LOWConcrete CMS version 9 before 9.2.5 vulnerable to stored XSS via the Role Name fieldEPSS 1.2%CVE-2026-8134CRITICALConcrete CMS 9.5.0 and below is vulnerable to Authenticated RCE via Composer customTemplate Path Traversal leading to PHP File InclusionEPSS 0.7%CVE-2026-3452HIGHConcrete CMS below 9.4.8 is vulnerable to stored deserialization leading to RCE in the Express Entry List block.EPSS 0.7%CVE-2011-3183—CVE-2011-3183EPSS 0.7%