Concrete CMS 9.5.0 and below emits a CSRF token in the local_available_update.php view ($token->output('do_update')) but the corresponding do_update() method in concrete/controllers/single_page/dashboard/system/update/update.php never calls $this->token->validate('do_update'). The form is rendered as a POST form, meaning the token reaches the browser, but because the controller discards it without verification, an attacker can craft a cross-site POST that triggers a core CMS update to an attacker-specified version string. In order to be vulnerable, theictim must be passing canUpgrade()anda valid update version must be present under DIR_CORE_UPDATES. The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 7.5 with vector CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Thanks https://github.com/maru1009 for reporting.
Concrete CMS 9.5.0 and below contains a Cross-Site Request Forgery (CSRF) vulnerability in the system update functionality where CSRF tokens are generated but never validated. An attacker can craft malicious POST requests to trigger unauthorized core CMS updates to attacker-specified versions.
تحتوي ثغرة CSRF هذه على عدم تطابق بين إنشاء رموز CSRF وتحققها في وحدة تحكم تحديث النظام. يمكن للمهاجمين استغلال هذا لإجبار المسؤولين على تثبيت إصدارات CMS ضارة أو غير مصرح بها عند زيارتهم لمواقع خبيثة.
نظام إدارة المحتوى Concrete CMS الإصدار 9.5.0 وما دونه يحتوي على ثغرة CSRF في وظيفة تحديث النظام حيث يتم إنشاء رموز CSRF ولكن لا يتم التحقق منها أبداً. يمكن لمهاجم صياغة طلبات POST خبيثة لتفعيل تحديثات CMS أساسية غير مصرح بها.
Upgrade Concrete CMS to version 9.5.1 or later immediately. Implement server-side CSRF token validation in the do_update() method. Apply Web Application Firewall (WAF) rules to detect and block suspicious cross-site POST requests targeting update endpoints. Restrict access to update functionality to authenticated administrators only.
قم بترقية Concrete CMS إلى الإصدار 9.5.1 أو أحدث فوراً. قم بتطبيق التحقق من رموز CSRF على جانب الخادم في طريقة do_update(). طبق قواعد جدار حماية تطبيقات الويب لكشف وحجب طلبات POST المريبة. قيد الوصول إلى وظائف التحديث للمسؤولين المصرح لهم فقط.