JVNDB-2026-017035

Concrete CMSにおける複数の脆弱性

Concrete CMS 9.5.0 およびそれ以前のバージョンでは、local_available_update.php のビューで CSRF トークン ($token-output('do_update')) が生成されますが、concrete/controllers/single_page/dashboard/system/update/update.php の対応する do_update() メソッドでは、$this-token-validate('do_update') が呼び出されていません。フォームは POST フォームとしてレンダリングされるためトークンはブラウザに到達しますが、コントローラーが検証せずに破棄してしまいます。そのため、攻撃者はクロスサイト POST を作成し、コア CMS のアップデートを攻撃者指定のバージョン文字列にトリガーすることが可能です。脆弱であるためには、被害者が canUpgrade() を通過し、有効なアップデートバージョンが DIR_CORE_UPDATES 配下に存在している必要があります。Concrete CMS セキュリティチームは、この脆弱性に対して CVSS v.4.0 スコア 7.5（ベクター CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）を付与しました。報告者 https://github.com/maru1009 に感謝します。

Concrete CMS

• Concrete CMS 9.5.1 未満

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]
2. 信頼できない制御領域からの機能の組み込み(CWE-829) [その他]

1. CVE-2026-8428

1. National Vulnerability Database (NVD) : CVE-2026-8428
2. 関連文書 : 9.5.1 Release Notes :: Concrete CMS

• [2026年05月28日]
    掲載