JVNDB-2026-034798

Concrete CMSにおけるクロスサイトリクエストフォージェリの脆弱性

Concrete CMS 9.5.2およびそれ以下のバージョンは、Expressの「Clear Entries」機能（POST /index.php/dashboard/system/express/entities/delete_entries）におけるクロスサイトリクエストフォージェリ（CSRF）に対して脆弱です。これは、コントローラーがCSRFトークンの検証失敗を記録するものの、検証を強制しないため、トークンが存在しないか無効の場合でも破壊的な操作が実行されてしまうからです。リモートの未認証攻撃者は、攻撃者制御下のページを訪問した認証済み管理者に強制的に操作を行わせることで、管理者が現在認証しているウェブアプリケーション上の攻撃者が選択したExpressエンティティに属するすべてのエントリーを恒久的に削除させることが可能です。デフォルトのContact Expressオブジェクトは固定のエンティティUUIDを持つため、ダッシュボードへのアクセスなしに対象識別子を取得できます。Concrete CMSセキュリティチームは、この脆弱性に対しCVSS v4.0スコア6.1（ベクター: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N）を付与しました。報告者のPratik Zanjurne氏に感謝します。

Concrete CMS

• Concrete CMS 9.5.3 未満

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

参考情報を参照して適切な対策を実施してください。

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]

1. CVE-2026-81907

1. National Vulnerability Database (NVD) : CVE-2026-81907

• [2026年09月25日]
    掲載