Concrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/express/association/reorder

Concrete CMS 9 anterior a la versión 9.5.0 tiene una debilidad de seguridad que permite a atacantes engañar a usuarios para que realicen acciones indeseadas en el sitio, como reordenar elementos, sin el conocimiento del usuario. Esto ocurre porque el sistema no verifica adecuadamente que las solicitudes sean legítimas.

Existe una vulnerabilidad de Falsificación de Solicitud Entre Sitios (CSRF) en el endpoint de reordenación de asociaciones express (concrete/controllers/dialog/express/association/reorder) debido a validación insuficiente de solicitudes. Un atacante no autenticado puede crear una página maliciosa que, cuando es visitada por un administrador autenticado, realiza reordenación no autorizada de asociaciones express a través de su sesión de navegador. El ataque requiere interacción del usuario (visitar un sitio malicioso) y tiene bajo impacto de integridad.