脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、net:threaded busypollで発生するrcu_tasksのスタールの脆弱性が報告されました。この問題は、threaded busypollを有効にした場合にbpftrace起動時にハングアップが発生し、dmesgにrcu_tasks_wait_gpが長時間経過したことを示すメッセージが表示される現象です。この問題の原因は、threaded busypollのメインループがnapi_threaded_pollであり、通常のnapi_threaded_poll_loopとは異なり、rcu_softirq_qs_periodicが適切に状態を報告できないことにあります。この問題に対し、パッチではthreaded busypoll時にlast_qsを外側のnapi_threaded_poll内で保持し、napi_threaded_poll_loopが呼ばれるたびにlast_qsがリセットされるのを防ぐことで解決しています。

Linuxカーネルにおいて、stagingのrtl8723bsドライバのrtw_restruct_wmm_ie関数に潜在的な境界外読み取りの脆弱性が修正されました。この脆弱性は、配列アクセス時のインデックスチェックの順序が不適切であったことに起因しています。条件文の順序を修正し、インデックスが配列長内であることを先に確認することで、この問題を解決しました。

Linuxカーネルにおいて、mm/damon/coreのdamos_walk()関数で非アクティブなコンテキストのwalk_controlをクリアしない問題が修正されました。この関数はコンテキストが実行中かどうかを確認する前に呼び出し元が提供したwalk_controlを設定しますが、もしコンテキストが非アクティブの場合、walk_controlをクリアせずにエラーを返します。このため、呼び出し元にスタック上の構造体へのダングリングポインタが残り、将来的にUse-after-freeや恒久的なエラーの原因となる可能性があります。しかし、実際の影響は限定的であり、DAMONが動作していない場合にのみ症状が発生します。本問題は、エラーを返す前にwalk_controlをクリアすることで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nsfsのハンドルのオープンに対する権限チェックが強化されました。特権サービスであっても、他の特権サービスの名前空間を見ることは必ずしも許されるべきではなく、互いに情報を漏らさないようにすべきです。nstreeが適用されるまで、このポリシーは集中管理され、may_see_all_namespaces()ヘルパー関数を使用して実装されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。rust_binderに関して、offsets配列に書き込まれた値の読み取りを回避します。トランザクションを送信する際、そのoffsets配列はまず対象プロセスのvmaにコピーされ、そこから値が読み取られます。通常、vmaは読み取り専用マッピングであるため、対象プロセスが値を変更することはできません。しかし、もし対象プロセスが自身のvmaを書き込み可能にしてしまった場合、読み戻される前にoffsetを変更でき、カーネルが送信者の意図を誤解する可能性があります。特定の形状のペイロードを送信した場合、最悪の場合、受信者が送信者に対して権限昇格を行える可能性があります。本来、自身のプロセスの読み取り専用vmaを変更する能力を得ることは悪用できないはずですが、別のBinderのバグがなければ悪用は不可能です。そのため、このTOCTOUの読み取りを削除しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。rust_binderは、vmaを使用する前に所有権を確認します。Rust Binderは、不足しているページをインストール（または削除）する際に、アドレスでmm内のvmaを検索し、vm_insert_page（またはzap_page_range_single）を呼び出します。しかし、vmaが閉じられて同じアドレスに別のvmaが置き換わった場合、Rust Binderは誤ったvmaにページをインストールしてしまう可能性があります。書き込み可能なvmaにページをインストールすることで、本来は読み取り専用のバインダーページに書き込みが可能になります。これらのページに書き込むことは本来できませんが、Rust Binderの設計意図では、この権限を得ても悪影響は生じないと考えられていました。ところが別のバグにより、そうではありませんでした。この問題を修正するために、vm_private_dataにポインタを格納し、vma_lookup()で返されるvmaが正しいvm_opsとvm_private_dataを持つことを使用前に確認するようにしました。これにより、Rust Binderが他のVMAと不正に関わることを防ぎます。今後は、vm_opsやvm_private_dataへの安全でないアクセスを避けるため、より多くのvma抽象化を導入する計画ですが、まずは最も簡単な修正から始めます。C Binderはやや異なる方法で同様のチェックを行っており、vm_ops-closeでbooleanをtrueに設定し、vma_lookup()後にそのbooleanを確認しますが、本パッチの解決策のほうが堅牢です（両方行うことが望ましいですが、vm_ops-closeコールバックは後続のvma API変更の一部として追加予定です）。vmaのリマップにより、ページが正しいvmaに表示されても誤ったオフセットになる問題は依然として存在しますが、これは別問題であり、Rust Binderにvm_ops-closeコールバックが追加される際に修正されます。

Apache CXFにおいて、信頼されていないJMS設定がリモートコード実行（RCE）につながる可能性がある問題の修正が不完全であり、別の経路で信頼されていないユーザーがJMS設定を操作できるため、コードが実行されるリスクがあります。ユーザーは、この問題を修正したバージョン4.2.1、4.1.6、または3.6.11にアップグレードすることを推奨します。

Snipe-ITはIT資産およびライセンス管理を行うシステムです。バージョン8.4.1以前では、users.edit権限のみを持つ認証済みユーザーが、PATCHリクエストを/api/v1/users/{id}に対してpermissions[admin]=1を送信することで、自身の権限を管理者に昇格させることが可能でした。APIコントローラーはpermissions配列からsuperuserキーのみを除外しており、adminやその他の権限キーはユーザー更新権限を持つ任意のユーザーによって設定可能でした。この脆弱性は8.4.1で修正されました。

Snipe-ITはIT資産およびライセンス管理システムです。バージョン8.4.1以前のSnipe-ITには、未検証のHTTP Refererヘッダーがセッション変数に保存されることで、攻撃者がユーザーを悪意のあるサイトにリダイレクトできるオープンリダイレクトの脆弱性が存在します。この脆弱性はバージョン8.4.1で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: skbuffに関する連結処理時に共有フラグマーカーを保持する問題です。skb_try_coalesce()は@fromから@toへページ化されたフラグメントを添付できます。もし@fromにSKBFL_SHARED_FRAGが設定されている場合、結果としてできる@to skbは同じ外部所有もしくはページキャッシュ対応のフラグメントを含みますが、共有フラグマーカーが現在失われています。それにより、後続のインプレースライターが依存する不変条件が破られます。特にESPは、クローンされていない非線形skbがskb_cow_data()をスキップできるかを決定する前にskb_has_shared_frag()をチェックします。TCPの受信連結が共有フラグメントを未マーキングのskbに移動した場合、ESPはskb_has_shared_frag()をfalseと判断し、ページキャッシュ対応フラグメント上にインプレースで復号を行ってしまう可能性があります。skb_try_coalesce()がページ化フラグメントを転送する際にSKBFL_SHARED_FRAGを伝搬させる修正が加えられました。テールルームコピー経路では、バイトを@toの線形データにコピーするためフラグマーカーは不要です。

Ruby 4のバージョン4.0.5より前に問題が発見されました。pthreadベースのgetaddrinfoタイムアウトハンドラ（ext/socket/raddrinfo.c内のrb_getaddrinfo）における競合状態により、use-after-freeが発生します。これにより、リモート攻撃者がユーザー指定のタイムアウト付近でDNS応答を遅延させることができ、Addrinfo.getaddrinfo(..., timeout:)またはSocket.tcp(..., resolv_timeout:)を呼び出すRubyプロセスをクラッシュさせる可能性があります。理論的には、この脆弱性を利用してメモリ破損を引き起こす攻撃も可能です。この攻撃は、例えば巧妙に作られた権威DNSサーバーや再帰的リゾルバを通じて実行される可能性があります。

LiteLLMのバージョン1.83.14以前では、認証されたinternal_userが自分の役割で許可されていないルートへのアクセス権を持つAPIキーを作成することが可能です。キーを生成する際、allowed_routesフィールドに指定されたルートがユーザー自身の権限内にあるかどうかを検証せずに保存されます。管理者専用ルートにアクセスできるキーを作成すると、そのルートに正常に到達でき、通常は役割ベースのアクセス制御によってブロックされるリクエストを回避できるため、internal_userがproxy_adminへ完全な特権昇格を行うことが可能になります。

LiteLLM 1.83.10より前のバージョンでは、/user/updateエンドポイントを介してユーザーが自身のuser_roleを変更できる脆弱性があります。このエンドポイントはユーザーが自身のアカウントのみを更新できるように正しく制限していますが、変更可能なフィールドの制限は行っていません。このエンドポイントにアクセスできるユーザーは、自身の役割をproxy_adminに設定でき、LiteLLMのすべてのユーザー、チーム、キー、モデル、およびプロンプト履歴を含む完全な管理者アクセス権を取得します。org_adminロールを持つユーザーはこのエンドポイントに正当にアクセスでき、この脆弱性を他の欠陥を連鎖させることなく悪用可能です。

Mattermostのバージョン11.6.x = 11.6.0、11.5.x = 11.5.3、11.4.x = 11.4.4、10.11.x = 10.11.14には、プラグインのHTTPエンドポイントにおけるリクエストボディサイズの制限を適切に強制しない脆弱性があります。そのため、攻撃者が細工された大容量のHTTPリクエストを送信すると、サービス拒否（DoS）を引き起こす可能性があります。

TP-Link Archer C7 v5およびv5.8のuhttpdモジュールにおける暗号強度不足の脆弱性により、パスワード回復が悪用される可能性があります。ウェブインターフェースはログイン時に管理者パスワードをクライアント側でRSA-1024を使用して暗号化し、ルーターに送信します。隣接する攻撃者がネットワークトラフィックを傍受できる場合、1024ビットRSA鍵に対してブルートフォース攻撃または因数分解攻撃を実施し、平文の管理者パスワードを回復することで、デバイスの設定に不正にアクセスおよび改ざんが可能となります。この問題はArcher C7の2022年7月15日ビルドまでに影響します。

Mattermostのバージョン11.6.x（11.6.0以下）、11.5.x（11.5.3以下）、11.4.x（11.4.4以下）、および10.11.x（10.11.14以下）において、メモリ割り当て前にmsgpackでエンコードされたWebSocketフレームを適切に検証しない問題があります。このため、認証されていないリモートの攻撃者が不正に作成したバイナリWebSocketメッセージをパブリックWebSocketエンドポイントに送信し、サーバープロセスをクラッシュさせて、全ユーザーに対してサービス停止を引き起こす可能性があります。

Devolutions ServerのActive Directory閲覧機能に認可の不備があり、権限の低い認証済みユーザーが認証リレーを介して攻撃者管理下のサーバーにアクセスし、保存されたPAMプロバイダーサービスアカウントに関連する認証情報を取得する可能性があります。この問題は特定のバージョンに影響します。

悪意を持って細工されたTIFファイルがAutodesk 3ds Maxで解析されると、アウト・オブ・バウンズ書き込みの脆弱性が引き起こされる可能性があります。攻撃者はこの脆弱性を悪用して、クラッシュを引き起こしたり、データを破損させたり、現在のプロセスのコンテキストで任意のコードを実行したりすることができます。

悪意を持って細工されたWRLファイルがAutodesk 3ds Maxで解析されると、メモリ破損の脆弱性が発生する可能性があります。攻撃者はこの脆弱性を利用して、現在のプロセスのコンテキストで任意のコードを実行できます。

悪意のある方法で作成されたWRLファイルがAutodesk 3ds Maxで解析されると、メモリ破損の脆弱性が発生する可能性があります。攻撃者はこの脆弱性を悪用して、現在のプロセスのコンテキストで任意のコードを実行できます。

nineninesのcowlib（cow_http_teモジュール）における制御されていないリソース消費の脆弱性により、過剰なメモリアロケーションが可能になります。cow_http_teのチャンク転送エンコーディングパーサは、チャンクサイズフィールド内の16進数桁数に制限を設けていません。各桁は大きな数の乗算（Len * 16 + digit）を引き起こし、N桁の16進数を解析するためにはO(N^2)のCPU作業とO(N)のメモリを必要とします。さらに、入力が少しずつ与えられる場合、パーサは部分読み取りごとに蓄積長を破棄し、再開時にゼロから再スタートするため、コストはO(N^3)にまで上昇します。認証されていないリモート攻撃者は、Transfer-Encoding: chunked付きのHTTP/1.1リクエストで非常に長いチャンクサイズの16進数文字列を送信することで、CPU過負荷とメモリ増幅によるサービス拒否（DoS）攻撃を引き起こせます。この脆弱性は、プログラムファイルsrc/cow_http_te.erlおよびプログラムルーチンcow_http_te:stream_chunked/2、cow_http_te:chunked_len/4に関連しています。この問題はcowlibのバージョン0.6.0以降から2.16.1未満に影響します。

pgAdmin 4のメンテナンスツールにおけるSQLインジェクションの脆弱性です。ユーザーが提供した4つのJSONフィールド（buffer_usage_limit、vacuum_parallel、vacuum_index_cleanup、reindex_tablespace）がレンダリングされたVACUUM/ANALYZE/REINDEXコマンドに直接連結され、psql --commandに渡されていました。tools_maintenance権限を持つ認証済みユーザーは、オプション構文を破って任意のSQLを接続中のPostgreSQLサーバー上で実行できました。注入されたSQLは、COPY ... TO PROGRAMを呼び出してデータベースホスト上でOSコマンドを実行することにエスカレートする可能性がありました。修正では、これら4つのフィールドすべてにサーバー側の許可リストを導入し、reindex_tablespaceを手動クオートからqtIdentフィルターへ切り替えています。この問題はpgAdmin 4のバージョン9.15未満のすべてに影響します。

pgAdmin 4のインポート/エクスポートクエリのエクスポート機能におけるOSコマンドインジェクション（CWE-78）の脆弱性です。ユーザーが提供した入力が適切にサニタイズされず、psqlの\copyメタコマンドテンプレートに直接挿入されていました。認証されたユーザーは") TO PROGRAM 'cmd'"を注入して\copy (...)の文脈を逸脱し、pgAdminサーバー上で任意のコマンドを実行可能であり、また") TO '/path'"を使って任意のファイルを書き込むことも可能でした。さらに、追加のフィールド（format、on_error、log_verbosity）も同様に生のまま挿入されており、悪用が可能でした。修正では、psqlのstrtokxトークナイザーを基にした括弧バランス解析パーサを追加し、format/on_error/log_verbosityの許可リストを設け、クエリ内のヌルバイトを拒否し、型およびチェック機構を強化しています。この問題はpgAdmin 4のバージョン9.15未満に影響を及ぼします。

pgAdmin 4 の FileBackedSessionManager における信頼されていないデータの逆シリアライズの脆弱性（CWE-502）です。セッションマネージャは、HMAC の整合性チェックを行う前に、Python の標準オブジェクトシリアライズモジュールを使用してセッションファイルの内容を安全でない方法で逆シリアライズしていました。セッションディレクトリに置かれた任意のファイルは無条件に逆シリアライズされていました。書き込み権限を持つ認証済みユーザーは、設定ミスや他のパストラバーサルの脆弱性と組み合わせることで、細工されたシリアライズペイロードを設置し、pgAdmin プロセスの権限で OS レベルのリモートコード実行を達成できる可能性があります。修正では、SESSION_BODY に対して SECRET_KEY を用いて計算した 64 バイトの 16 進 SHA-256 HMAC を前置し、逆シリアライズ前に hmac.compare_digest で検証します。SECRET_KEY が空の場合は例外を発生させるのではなくエラーとし、-O オプションで除去されないようにしています。この問題は pgAdmin 4 のバージョン 9.15 未満に影響します。

pgAdmin 4のファイルマネージャにおけるシンボリックリンクのパストラバーサル（CWE-61、CWE-22）に関する問題です。check_access_permission関数はos.path.abspathを使用しており、これは「..」を解決しますが、シンボリックリンクは解決しません。一方で、後続のカーネルによる書き込み処理はシンボリックリンクをたどります。認証されたユーザーは自身のストレージディレクトリ内に外部を指すシンボリックリンクを設置し、pgAdminに任意のパスへの書き込みを誘発させる可能性があります。修正内容としては、アクセスチェックをソースおよび宛先の両方でos.path.realpathに変更し、_open_upload_targetヘルパー関数を追加してO_NOFOLLOW（モード0o600）でターゲットを開くことで、アクセスチェックとオープン間のリーフコンポーネントのTOCTOU問題を防止しています。また、ファイルモードも0o644から0o600に厳格化されています。この問題はpgAdmin 4のバージョン9.15より前のバージョンに影響を及ぼします。

Concrete CMS 9.5.0およびそれ以下のバージョンは、ページタイプのコンポーザーフォームレイアウトを保存する際に、ptComposerFormLayoutSetControlCustomTemplateフィールド内のパストラバーサルシーケンスを適切にサニタイズしません。認証された悪意のある管理者で、コンポーザーフォーム編集権限を持つ者は、これを悪用してサーバー上の任意の読み取り可能ファイルを含めることができます。ファイルアップローダーの拡張子のみの検証（画像拡張子（例：.png）で保存されたファイル内のPHPコードを許可する）と組み合わせることで、認証されたリモートコード実行を引き起こす可能性があります。Concrete CMSセキュリティチームは、この脆弱性に対してCVSS v4.0スコア9.4を割り当てており、ベクターはCVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:Hです。報告者はYonatan Drori（Tenzai）に感謝しています。

Concrete CMS 9.5.0以下には、ExpressEntryListブロックコントローラーで発生する安全でない逆シリアル化の脆弱性があり、これによりリモートコード実行が可能となります。エリアにブロックを追加する権限を持つ悪意のある管理者は、通常フォームのPOSTリクエストによる悪意のある入力を制限する保護機構（_fromCIF === true）を回避し、REST API機能を悪用できます。REST APIはjson_decode()を使用してリクエストを解析するため、文字列「true」は厳密なPHPブール値（true）として評価されます。このバイパスにより攻撃者は悪意のあるシリアライズされたペイロードをブロックのfilterFieldsデータベース列に注入できます。このペイロードは管理者がブロックのデータを閲覧または編集するときに実行され、サーバーの完全な乗っ取り（RCE）を引き起こします。Concrete CMSセキュリティチームはこの脆弱性にCVSS v4.0スコア8.9（ベクター: CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）を付与しました。報告者はNguyen Van Thien（https://github.com/Thien225409）です。

Concrete CMS 9.5.0以下にはbulk_user_assignment.phpにおける認可不足の脆弱性が存在し、管理者グループへの権限昇格を引き起こす可能性があります。認証された任意のユーザーが一括ユーザー割り当てダッシュボードページにアクセスすると、任意のユーザーメールを任意のグループに追加したり、正当な管理者を削除したりすることが可能です。Concrete CMSセキュリティチームはこの脆弱性に対して、CVSS v4.0でスコア7.5、ベクターはCVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:Nと評価しています。報告者のVincent55に感謝しています。

Concrete CMS 9のバージョン9.5.0未満には、concrete/controllers/dialog/logs/deleteにおけるクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。Concrete CMSのセキュリティチームはこの脆弱性に対してCVSS v4.0でスコア2.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N）を付けました。報告者はYonatan Drori（Tenzai）に感謝しています。

Concrete CMS 9 のバージョン 9.5.0 より前には、concrete/controllers/dialog/logs/bulk/delete においてクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。Concrete CMS セキュリティチームは、この脆弱性に対して CVSS v4.0 でスコア 2.3 を付与しており、ベクターは CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N です。報告者は Yonatan Drori (Tenzai) に感謝しています。

Concrete CMS 9のバージョン9.5.0より前のconcrete/controllers/dialog/page/bulk/deleteにはクロスサイトリクエストフォージェリ（CSRF）の脆弱性があります。Concrete CMSのセキュリティチームは、この脆弱性にCVSS v4.0スコア2.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N）を付与しました。報告者のYonatan Drori（Tenzai）に感謝しています。

Concrete CMS 9 のバージョン 9.5.0 未満は、concrete/controllers/dialog/page/bulk/cache におけるクロスサイトリクエストフォージェリ（CSRF）に対して脆弱でした。Concrete CMS セキュリティチームは、この脆弱性に CVSS v4.0 のスコア 2.3 とベクター CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N を付けました。報告者の Yonatan Drori (Tenzai) に感謝しています。

Concrete CMS 9のバージョン9.5.0未満には、concrete/controllers/dialog/page/bulk/designにおいてクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。Concrete CMSのセキュリティチームは、この脆弱性に対してCVSS v4.0でスコア2.3を付けており、ベクターはCVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:Nとなっています。報告者はYonatan Drori（Tenzai）に感謝の意を表しています。

Concrete CMS 9のバージョン9.5.0未満には、concrete/controllers/dialog/event/duplicateにおけるクロスサイトリクエストフォージェリ（CSRF）の脆弱性があります。Concrete CMSのセキュリティチームは、この脆弱性に対してCVSS v4.0スコア2.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N）を付けました。報告者のYonatan Drori（Tenzai）に感謝しています。

Concrete CMS 9 のバージョン 9.5.0 未満は、concrete/controllers/dialog/express/association/reorder においてクロスサイトリクエストフォージェリ（CSRF）に対して脆弱です。Concrete CMS セキュリティチームはこの脆弱性に対して CVSS v4.0 スコアを 2.3 と評価しており、ベクトルは CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N です。報告者の Yonatan Drori (Tenzai) 氏に感謝しています。

Concrete CMS 9のバージョン9.5.0未満には、concrete/controllers/backend/fileのaddFavoriteFolder($id)においてクロスサイトリクエストフォージェリ（CSRF）の脆弱性があります。Concrete CMSのセキュリティチームは、この脆弱性に対してCVSS v4.0でスコア2.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N）を付けました。報告者はYonatan Drori（Tenzai）に感謝の意を表しています。

Concrete CMS 9.5.0以下では、/dashboard/extend/update/do_update/pkgHandleへのリクエストを処理する前にCSRFトークンの検証が行われません。concrete/controllers/single_page/dashboard/extend/update.phpのdo_update()メソッドは、指定されたパッケージのコントローラーに対してupgradeCoreData()とupgrade()を実行する前にcanInstallPackages()のみをチェックします。このエンドポイントは状態変更を伴うGETルートでありトークンの強制がないため、攻撃者は認証済み管理者に単一のクロスサイトナビゲーションを介してパッケージのアップグレードを強制できます。脆弱になるためには、被害者がcanInstallPackages()を通過し、対象パッケージがすでにインストールされている必要があります。Concrete CMSセキュリティチームはこの脆弱性にCVSS v.4.0スコア7.5（ベクター: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）を付与しました。報告者であるhttps://github.com/maru1009に感謝しています。

Concrete CMS 9.5.0以下には、concrete/controllers/single_page/dashboard/extend/install.phpのinstall_package()メソッドにCSRF脆弱性が存在します。認証された管理者が細工されたページを訪問し、かつDIR_PACKAGES/handle/にパッケージが配置または存在する状態を攻撃者が作り出せる場合、そのパッケージのインストールをCSRF保護なしで強制できます。パッケージのインストールはウェブサーバーユーザーとしてパッケージコントローラーのinstall()メソッドを実行し、リモートコード実行を可能にします。脆弱になる条件として、被害者がcanInstallPackagesを通過している必要があります。Concrete CMSセキュリティチームは本脆弱性にCVSS v4.0のスコア7.5（ベクター：CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）を付与しました。報告者はhttps://github.com/maru1009に感謝しています。

Concrete CMS 9.5.0およびそれ以下のバージョンには、/dashboard/extend/update/prepare_remote_upgrade/remoteMPIDへのリクエストを処理する際にCSRFトークンの検証を行わない脆弱性があります。攻撃者が既知のマーケットプレイスアイテムIDに対して返されるリモートパッケージを制御できる場合、ディスク上のパッケージPHPを上書きし、単一のブラウザナビゲーションでそのupgrade()メソッドを強制的に実行させることが可能です。これにより、ウェブサーバーユーザーとしてリモートコードを実行できます。脆弱である条件は、被害者がcanInstallPackages権限を持ち、被害者サイトがConcreteマーケットプレイスに接続されており、攻撃者が既に被害者サイトにインストールされているマーケットプレイスアイテムIDに対して返されるパッケージを制御していることです。Concrete CMSセキュリティチームはこの脆弱性にCVSS v4.0スコア7.5を付与しました。報告ありがとうございます。

Concrete CMS 9のバージョン9.5.0未満には、concrete/controllers/backend/fileのremoveFavoriteFolder($id)においてクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。Concrete CMSのセキュリティチームはこの脆弱性にCVSS v4.0スコア2.3を付けており、ベクターはCVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:Nです。この脆弱性の報告者はYonatan Drori（Tenzai）です。