Concrete CMS 9.5.0 and below does not validate a CSRF token before processing requests to /dashboard/extend/update/do_update/<pkgHandle>. The do_update() method in concrete/controllers/single_page/dashboard/extend/update.php checks only canInstallPackages() before executing upgradeCoreData() and upgrade() on the named package's controller. Because the endpoint is a state-changing GET route with no token enforcement, an attacker can force an authenticated administrator to trigger a package upgrade via a single cross-site navigation.In order to be vulnerable, the victim must be passing canInstallPackages() and and a target package must already be already installed. The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 7.5 with vector CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Thanks https://github.com/maru1009 for reporting.
Concrete CMS versions 9.5.0 and below lack CSRF token validation on package update endpoints, allowing attackers to force administrators to trigger unauthorized package upgrades. An authenticated admin with package installation permissions is required for exploitation, making this a privilege escalation vector for malicious package modifications.
يفتقد Concrete CMS 9.5.0 وأقل التحقق من رموز CSRF على نقطة نهاية /dashboard/extend/update/do_update/<pkgHandle>، مما يسمح بهجمات تزييف الطلبات عبر المواقع. يمكن لمهاجم إجبار مسؤول مصرح به على ترقية حزمة مثبتة بالفعل من خلال التنقل عبر الموقع. يتطلب الاستغلال أن يكون لدى الضحية صلاحيات تثبيت الحزم وأن تكون الحزمة المستهدفة مثبتة بالفعل.
Concrete CMS الإصدارات 9.5.0 وأقل لا تتحقق من رموز CSRF على نقاط نهاية تحديث الحزم، مما يسمح للمهاجمين بإجبار المسؤولين على تشغيل ترقيات حزم غير مصرح بها. يتطلب المسؤول المصرح به بصلاحيات تثبيت الحزم، مما يجعل هذا متجهاً لتصعيد الامتيازات للتعديلات الضارة على الحزم.
Upgrade Concrete CMS to version 9.5.1 or later immediately. Implement Web Application Firewall (WAF) rules to detect and block suspicious package update requests. Review administrator access logs for unauthorized package modifications. Restrict package installation permissions to essential administrators only. Enable CSRF protection headers (SameSite cookies) at the application and server level.
قم بترقية Concrete CMS إلى الإصدار 9.5.1 أو أحدث فوراً. طبق قواعد جدار حماية تطبيقات الويب (WAF) للكشف عن طلبات تحديث الحزم المريبة وحجبها. راجع سجلات وصول المسؤول للتعديلات غير المصرح بها على الحزم. قيد صلاحيات تثبيت الحزم للمسؤولين الأساسيين فقط. فعّل رؤوس حماية CSRF (ملفات تعريف الارتباط SameSite) على مستوى التطبيق والخادم.