CVE-2026-8415lowCWE-1275CWE-352

CVE-2026-8415: falha de baixa gravidade em Concrete CMS

Concrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/express/association/reorder

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Concrete CMS+ Monitorar concrete5/concrete5

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

8Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 2.3epss 0.1%
Em resumo

O Concrete CMS 9 anterior à versão 9.5.0 possui uma falha de segurança que permite a atacantes enganar usuários para executar ações indesejadas no site, como reordenar itens, sem o conhecimento do usuário. Isso ocorre porque o sistema não verifica adequadamente se as requisições são legítimas.

Detalhe técnico

Uma vulnerabilidade de Falsificação de Solicitação Entre Sites (CSRF) existe no endpoint de reordenação de associações express (concrete/controllers/dialog/express/association/reorder) devido à validação insuficiente de requisições. Um atacante não autenticado pode criar uma página maliciosa que, quando visitada por um administrador autenticado, executa reordenação não autorizada de associações express através da sessão do navegador. O ataque requer interação do usuário (visitar um site malicioso) e possui baixo impacto de integridade.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Concrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/express/association/reorder. The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 2.3 with vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Thanks Yonatan Drori (Tenzai) for reporting.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Produtos afetados
Concrete CMS · Concrete CMS
CVEs relacionadas — Concrete CMS

No mesmo produto, das mais perigosas para as menos.

CVE-2026-18110HIGHConcrete CMS 9.0.0 through 9.5.2 is vulnerable to missing authorization in the user selector autocomplete endpoint (/ccm/system/user/autocomplete), allowing an unauthenticated attacker to retrieve the complete backend user directory — internal ID, usernameEPSS 1.6%CVE-2026-6826MEDIUMConcrete 9.5.0 and below has file usage disclosure via missing permission check in Usage controllerEPSS 1.5%CVE-2024-1247LOWConcrete CMS version 9 before 9.2.5 vulnerable to stored XSS via the Role Name fieldEPSS 1.2%CVE-2026-8134CRITICALConcrete CMS 9.5.0 and below is vulnerable to Authenticated RCE via Composer customTemplate Path Traversal leading to PHP File InclusionEPSS 0.7%CVE-2026-3452HIGHConcrete CMS below 9.4.8 is vulnerable to stored deserialization leading to RCE in the Express Entry List block.EPSS 0.7%CVE-2011-3183—CVE-2011-3183EPSS 0.7%