CVE-2026-81909: Missing Authorization в Concrete CMS 9 — редактор может раскрыть и удалить произвольные блоки

Команда безопасности Concrete CMS раскрыла уязвимость CVE-2026-81909, затрагивающую ветку 9.x вплоть до версии 9.5.2 включительно. Проблема относится к классу Missing Authorization (отсутствие проверки авторизации) и позволяет пользователю с ролью редактора выходить за пределы делегированных ему прав и воздействовать на произвольный контент сайта.

Подробности

Уязвимость локализована в маршруте alias для осиротевших блоков — методе Process::alias() в файле concrete/controllers/backend/block/process.php. При обработке запроса система не проверяет два ключевых условия: что указанный блок действительно является осиротевшим на целевой странице и что вызывающий пользователь обладает какими-либо правами на исходный блок.

В результате пользователь, которому выдано лишь делегирование add_block_to_area, ограниченное конкретной областью на его собственной странице, может передать в запросе идентификатор любого блока сайта. Содержимое исходного блока дублируется в область, контролируемую этим редактором, что приводит к раскрытию информации. В том же запросе оригинальный блок принудительно удаляется, что уничтожает произвольный контент сайта.

Затронутый продукт — Concrete CMS (ветка 9.x, версии с 9 по 9.5.2). Оценка CVSS v4.0 составляет 5.9 (MEDIUM) с вектором CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N. Согласно вектору, для эксплуатации требуются высокие привилегии (PR:H) и соблюдение определённых предварительных условий (AT:P), однако воздействие на целостность и доступность оценивается как высокое (VI:H и VA:H). Уязвимость сообщил Йонатан Дрори (Yonatan Drori) из Tenzai.

Что делать

Основная рекомендация — обновить Concrete CMS до версии выше 9.5.2, как только соответствующее исправление будет доступно от разработчиков. Поскольку проблема связана с отсутствием проверок авторизации, приоритет обновления стоит оценить как высокий для сайтов, где редакторские права предоставляются внешним или многочисленным пользователям.

В качестве временных митигаций до установки патча целесообразно ограничить круг пользователей с делегированием add_block_to_area, пересмотреть выданные области и права на редактирование, а также усилить мониторинг запросов к административным маршрутам бэкенда на предмет подозрительной активности. Помните, что уязвимость эксплуатируется аутентифицированным пользователем, поэтому контроль доступа к учётным записям редакторов остаётся значимым барьером.

CVE-2026-81909 демонстрирует, насколько опасно отсутствие проверки владения объектом в административных маршрутах CMS: даже ограниченные права редактора превращаются в инструмент уничтожения произвольного контента. Своевременное обновление и аудит делегированных разрешений минимизируют риски.

Источник: CVE Project (cvelistV5)