脆弱性情報（JVN）検索・一覧

Mattermost のバージョン 11.6.x のうち 11.6.0 以下、11.5.x のうち 11.5.3 以下、11.4.x のうち 11.4.4 以下、10.11.x のうち 10.11.14 以下において、永続的な通知を削除する前にチャンネルをアーカイブできない問題があります。この問題により、認証されたユーザーは既存の永続的な通知を削除するサーバーの処理とチャンネルのアーカイブ処理の間で永続的通知メッセージの作成のタイミングを調整し、サーバーをクラッシュさせることが可能です。Mattermost 警告 ID は MMSA-2026-00637 です。

Mattermostのバージョン11.6.x（11.6.0以下）、11.5.x（11.5.3以下）、11.4.x（11.4.4以下）、10.11.x（10.11.14以下）は、APIリクエストハンドラ内でユーザー提供の入力を適切に検証しません。そのため、認証された攻撃者が細工されたHTTPリクエストをPR詳細エンドポイントに送信すると、プラグインプロセスをクラッシュさせることが可能です。

不適切なアクセスチェックにより、権限の低いユーザーが既存のスケジューラータスクのタスクタイプを編集可能になりました。

checkAttributeメソッド内の不十分なコンテンツフィルタリングにより、さまざまなコンポーネントでXSSの脆弱性が発生します。

入力フィルタリングが欠如しているため、HTMLフィルターコードにXSSの脆弱性が発生します。

Inkscape 1.1より前のバージョンにおけるXInclude処理コンポーネントにローカルファイル情報漏洩の脆弱性が存在します。悪意のあるxi:includeタグを含む細工されたSVGファイルを介して、リモートの攻撃者がローカルファイルを読み取ることが可能となります。

Devolutions Serverの通知管理エンドポイントにおいて不適切なアクセス制御が存在し、認証されていない攻撃者がセッション検証が欠如している点を悪用して、任意のユーザー通知レコードを変更または削除できる可能性があります。この問題はDevolutions Serverのバージョン2026.1.6.0から2026.1.15.0まで、および2025.3.19.0以前のバージョンに影響します。

Devolutions Serverのエントリアクティビティログ機能における不適切なアクセス制御により、エントリへのアクセス権を持つ認証ユーザーが、必要な権限がなくても細工されたAPIリクエストを介してそのエントリのアクティビティログを取得できる可能性があります。この問題はDevolutions Serverの特定のバージョンに影響を及ぼします。

Mattermostのバージョン11.6.x = 11.6.0、11.5.x = 11.5.2、11.5.x = 11.5.3、11.4.x = 11.4.4、10.11.x = 10.11.14は、メモリ割り当て前に画像ヘッダー内のTIFF IFDオフセットを検証しません。そのため、ファイルアップロードまたは投稿権限を持つ認証ユーザーが細工されたTIFFファイルをアップロードしたり、TIFFファイルを提供するURLを投稿したりすることで、サービス拒否（サーバーのOOM）を引き起こす可能性があります。

Concrete CMS 9.5.0以下には、使用コントローラーにおける権限チェックの欠如により、認証されていないファイル使用情報が漏洩する脆弱性があります。認証されていない訪問者は、任意のファイルIDを指定して /ccm/system/dialogs/file/usage/{fID} にリクエストを送信することで、そのファイルを参照しているすべてのページの一覧（ページID、ハンドル、完全なURLを含む）を取得できます。これには、権限によって制限されているページも含まれます。Concrete CMSのセキュリティチームは、この脆弱性に対してCVSS v4.0でスコア6.9（ベクター: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）を付けました。報告者のEldudareenoに感謝しています。

悪意のある細工が施されたPARファイルがAutodesk 3ds Maxで解析されると、NULLポインタ参照の脆弱性が引き起こされる可能性があります。これが成功すると、アプリケーションがクラッシュし、サービス拒否（DoS）状態を引き起こします。

悪意を持って細工されたWRLファイルがAutodesk 3ds Maxで解析されると、スタック消耗の脆弱性が引き起こされ、サービス拒否状態になる可能性があります。

pgAdmin 4のBrowser TreeおよびExplain Visualizerモジュールにおいて、保存型クロスサイトスクリプティング（XSS）脆弱性が存在しました。ユーザーが制御可能なPostgreSQLのオブジェクト名（データベース、スキーマ、テーブル、カラムなど）がinnerHTMLを介してDOM要素に割り当てられており、HTMLマークアップを含む細工されたオブジェクト名によって、悪意あるオブジェクトに対してEXPLAINを実行したり、該当オブジェクトにナビゲートしたpgAdminユーザーのブラウザー上で攻撃者のJavaScriptが実行される可能性がありました。修正ではinnerHTMLをtextContentに置き換えています。この問題はpgAdmin 4のバージョン9.15未満に影響します。

pgAdmin 4のLLM API設定エンドポイントにおけるローカルファイルインクルージョン（LFI）およびサーバーサイドリクエストフォージェリ（SSRF）の脆弱性です。ユーザーが提供するapi_key_fileおよびapi_urlの設定は検証なしにLLMプロバイダクライアントに渡されていました。認証されたユーザーは、api_key_fileをpgAdminプロセスで読み取り可能な任意のパスに指定することでサーバー側の任意のファイルを読み取ったり、api_urlを設定してchat pathおよびmodel-listエンドポイントを悪用し、クラウドメタデータサービス（例：169.254.169.254）などの内部ターゲットへリクエストを強制的に送信させることが可能でした。修正では、api_key_fileをユーザーのプライベートストレージ（サーバーモード）またはホームディレクトリ（デスクトップモード）に制限し、印刷可能なASCII文字列の形式と1024バイトの読み取り上限を設けました。また、api_urlは設定可能な許可リスト（config.ALLOWED_LLM_API_URLS）に基づき各エントリーポイントで検証されるようになっています。本脆弱性はpgAdmin 4のバージョン9.15より前に影響を及ぼします。

pgAdmin 4における過剰な認証試行の不適切な制限（CWE-307）に関する問題です。pgAdminはMAX_LOGIN_ATTEMPTSをカスタムの/authenticate/loginビュー内でのみ強制しています。Flask-Securityのデフォルトの/loginビューは security.init_app()により自動的に登録され、すべてのサーバーでアクセス可能ですが、User.lockedフィールドを参照していませんでした。pgAdminのUserモデルはFlask-SecurityのUserMixin.is_locked()（常に「ロックされていない」と返します）およびFlask-Loginのis_active（lockedではなくactiveカラムのみをチェックします）に依存していました。したがって、/authenticate/login経由でアカウントロックアウトを引き起こした攻撃者は、/loginに有効な資格情報を再送信することでセッションを取得でき、INTERNAL認証ソースを使用するアカウントに対するブルートフォース保護制御を回避可能でした。同様の回避により、/login経由のログイン試行はレート制限されないため、攻撃者はMAX_LOGIN_ATTEMPTSに関係なくINTERNALアカウントに対して無制限のオンラインパスワード推測攻撃を実行できます。修正では、すべての認証経路でlockedカラムを強制するためにUser.is_activeおよびUser.is_locked()をオーバーライドしました。LDAP、OAuth2、Kerberos、およびWebserverユーザーはローカルパスワードを持たず、lockedチェック前にFlask-SecurityのLoginForm.validateで拒否されるため、このバイパスの対象外です。ロックアウト自体も内部限定であり、/authenticate/loginビューはauth_source=INTERNALでフィルタリングされます。この問題はpgAdmin 4の9.15以前のバージョンに影響を及ぼします。

Concrete CMS 9.5.0以下において、concrete/controllers/single_page/download_file.phpのsubmit_password()メソッドは、ダウンロード時にパーミッション制限されたファイルがview_fileパーミッションチェックを回避できるため、不正なファイルアクセスを許してしまいます。パスワードなしのファイルは誰でもダウンロード可能であり、ファイルのパスワードを知っているユーザーは、そのファイルへのアクセス権限がなくてもパスワード保護されたファイルをダウンロードできます。Concrete CMSのセキュリティチームはこの脆弱性に対し、CVSS v4.0でスコア6.3（ベクター: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）を付けました。報告者はYoussef Eid氏です。

Concrete CMS 9.5.0およびそれ以前のバージョンは、Express Entry DetailブロックにおけるexEntryIDパラメータを介した不適切な直接オブジェクト参照（IDOR）の脆弱性の影響を受けます。このIDORによって、すべてのExpressフォーム送信に不正にアクセスできる可能性があります。Concrete CMSのセキュリティチームは、この脆弱性に対してCVSS v4.0で6.3のスコアを付けており、ベクターはCVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:Nとしています。報告者のTristan Madani氏に感謝します。

Concrete CMS 9.5.0以下には、DeleteFileコントローラーでの逆転したCSRFトークンチェックにより、無許可のファイル削除が可能になる脆弱性があります。コードは、トークンが有効な場合にエラーを発生させ、一方でトークンが無効または欠如している場合にファイル削除を実行します。これによりファイル削除エンドポイントのCSRF保護が実質的に無効化され、会話メッセージの編集権限を持つユーザーを標的としたクロスサイトリクエストフォージェリ攻撃が可能となります。Concrete CMSセキュリティチームは本脆弱性に対してCVSS v4.0のスコア2.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N）を付与しました。報告者のTristan Mandani氏に感謝します。

Concrete CMS 9.5.0以下には、attachments[]パラメータを介したAddMessageおよびUpdateMessageにおけるIDORの脆弱性が存在し、ファイル権限のバイパスにつながる可能性があります。AddMessageおよびUpdateMessageの会話コントローラーは、ユーザーが提供したファイル添付IDを受け入れ、ファイルごとの権限チェック（canViewFile()）を行わずに、$em-find(File::class, $attachmentID)で直接ファイルを読み込んでいます。任意の会話に投稿できるユーザーは、CMSのファイルマネージャの連続IDを用いて任意のファイルを参照でき、実質的にファイル権限システムをバイパスしてしまいます。Concrete CMSセキュリティチームはこの脆弱性に対し、CVSS v.4.0スコア2.3（ベクターCVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N）を付与しました。報告者のTristan Mandaniに感謝します。サイトに真にプライベートなファイルがある場合、オーナーはウェブルート外のプライベートストレージロケーション（https://documentation.concretecms.org/user-guide/editors-reference/dashboard/system-and-maintenance/files/file-storage-locations）を設定し、閲覧時に権限をチェックできるようにすべきです。これにより、認可されたユーザーがファイルを添付またはリンクしても、認可されていないユーザーはファイルを閲覧できなくなります。

Concrete CMS 9.5.0以下のバージョンにおいて、OAuth 2.0認可コードハンドラがアカウント状態をバイパスする脆弱性があります。uIsActive=0（停止、禁止、退職した従業員）のユーザーであっても、OAuthを介して認証を行い、有効なAPIトークンを受け取ることが可能です。Concrete CMSのセキュリティチームはこの脆弱性に対して、CVSS v4.0のスコアを2.3（ベクター: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N）と評価しました。報告者は0x4c616eに感謝しています。

Concrete CMS 9.5.0以下において、RSSディスプレイヤーブロックは任意のページ編集者からのフィードURLを受け取り、サーバー側で検証せずに取得します。このため、リダイレクトを内部的に回避することが可能です。Concrete CMSのセキュリティチームはこの脆弱性に対し、CVSS v4.0スコア2.1（ベクター: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:L/SI:N/SA:N）を付与しています。

Concrete CMS 9.5.0以下には、updateCollectionAliasExternalがサニタイズを回避することで、external-linkページのcvNameを介したStored XSSの脆弱性が存在します。Concrete CMSセキュリティチームは、この脆弱性にCVSS v4.0スコア2.0（ベクターCVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N）を付けました。報告者であるYonatan Drori (Tenzai)に感謝しています。

Concrete CMS 9.5.0およびそれ以前のバージョンは、/dashboard/extend/install/download/remoteIdへのリクエストを処理する前にCSRFトークンを検証しません。concrete/controllers/single_page/dashboard/extend/install.phpのdownload()メソッドは、リモートのマーケットプレイスパッケージを取得してサーバーのDIR_PACKAGESディレクトリに書き込む前にcanInstallPackages()権限のみをチェックします。このエンドポイントはトークンの強制がない状態変更を伴うGETルートであるため、認証済みの管理者に細工されたページを訪問させることで、攻撃者は任意のマーケットプレイスパッケージをダウンロードさせることができます。脆弱性が存在する条件として、被害者がcanInstallPackages()を通過し、サイトがConcreteマーケットプレイスに接続されている必要があります。Concrete CMSのセキュリティチームは、この脆弱性にCVSS v4.0のスコア7.5（ベクター：CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）を付与しました。報告者にはhttps://github.com/maru1009に感謝しています。

Concrete CMS 9.5.0以下のバージョンには、OAuth統合名を介したStored XSSの脆弱性があります。OAuth承認テンプレートは、Concreteのt()翻訳ヘルパーを通じて統合名（管理者が制御）をsprintfスタイルのフォーマットとしてレンダリングします。strong.../strongのラップはt()が実行される前にPHPの文字列補間によって構築されるため、統合名が翻訳出力に生のHTMLとして挿入されます。悪意のある管理者はログイン提出情報を覗き見る可能性があります。Concrete CMSセキュリティチームは、この脆弱性にCVSS v4.0スコア7.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）を付与しました。報告者のYonatan Drori (Tenzai)に感謝しています。

Concrete CMS 9.5.0以下にはheightパラメータに保存型XSSの脆弱性があります。コントローラーは$heightを検証またはサニタイズしていません。編集者権限を持つユーザーは任意の悪意あるJavaScriptを注入でき、それが訪問者のブラウザ上で実行される可能性があります。その結果、セッションハイジャックや資格情報の窃取、その他の悪意ある行為を引き起こす恐れがあります。Concrete CMSセキュリティチームはこの脆弱性にCVSS v4.0スコア7.3（ベクター：CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）を付与しました。報告者のAlfin Joseph氏に感謝します。

Concrete CMS 9.5.0およびそれ以前のバージョンには、カレンダーイベントフロントエンドダイアログにおける認可回避の脆弱性が存在し、これによりクロスカレンダーでのデータ漏洩が発生する可能性があります。公開カレンダーブロックがピボットポイントとして使用され、プライベートカレンダーデータへアクセスされる恐れがあります。Concrete CMSのセキュリティチームは、この脆弱性にCVSS v4.0のスコア6.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）を付与しました。報告者のWinston Crookerへ感謝しています。

Concrete CMS 9.5.0以下のバージョンには、Calendar Blockのaction_get_eventsがカレンダーのcanViewをチェックしないため、権限回避の脆弱性があります。この脆弱性により、制限されたイベントの詳細が漏洩する可能性があります。Concrete CMSのセキュリティチームは、この脆弱性に対してCVSS v4.0のスコア6.3（ベクターCVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）を付与しました。報告者のlalalala5678に感謝しています。

Concrete CMS 9.5.0およびそれ以前のバージョンには、IDORと認証ゲートの欠如が組み合わさった脆弱性があります。エンドポイント /ccm/system/dialogs/file/usage/{fID} はURL内の整数ファイルIDを受け入れ、GETリクエストを送信したユーザーに対して内部サイト構造データ（ページID、バージョン、URLパス）を返します。Concrete CMSのセキュリティチームは、この脆弱性に対してCVSS v.4.0のスコア6.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）を付けました。この脆弱性の報告者であるWinston Crookerに感謝します。

Concrete CMS 9.5.0以下のバージョンにはIDORの脆弱性があります。`/ccm/frontend/conversations/message_detail`エンドポイントは任意の会話メッセージの全文を返します。認証されていない攻撃者でも、制限されたページ、会員専用エリア、およびモデレーションキューからのメッセージを含むすべての会話メッセージを列挙できます。また、ダウンロードURL付きのファイル添付も露出します。Concrete CMSのセキュリティチームは、この脆弱性にCVSS v4.0スコア6.3（ベクターCVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）を付けました。報告者はEldudareeno氏に感謝しています。

Concrete CMS 9.5.0以下にはIDORの脆弱性があります。'/ccm/frontend/conversations/message_page'エンドポイントは、任意の会話メッセージの全文を返します。認証されていない攻撃者は、制限されたページ、メンバー限定エリア、およびモデレーションキューのメッセージを含むすべての会話メッセージを列挙できます。ダウンロードURLを持つファイル添付も公開されます。Concrete CMSのセキュリティチームはこの脆弱性をCVSS v4.0でスコア6.3（ベクター: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）と評価しました。報告者はTristan Madani氏に感謝の意を表しました。

Concrete CMS 9.5.0以下にはIDORの脆弱性があります。'/ccm/frontend/conversations/get_rating'エンドポイントは、IDを用いて任意のメッセージの存在を確認し、その評価スコアを返します。Concrete CMSのセキュリティチームは、この脆弱性に対してCVSS v4.0のスコア6.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）を付けました。報告者はTristan Madaniに感謝しています。

Concrete CMS 9.5.0以下には、認証されていない状態で構成されたサマリーテンプレートを持つすべてのページにわたり、ページメタデータの情報が漏洩する脆弱性があります。この脆弱性により、プライベート、ドラフト、および制限付きページの存在が明らかになり、タイトル、パス、説明、著者情報が漏洩します。Concrete CMSのセキュリティチームは、この脆弱性にCVSS v.4.0でスコア6.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）を付けました。報告者のWinston Crookerに感謝しています。

Concrete CMS 9.5.0以下には、レガシーページネーションにおけるHTML属性注入を通じた反射型XSSの脆弱性があります。Concrete\Core\Legacy\Paginationは、$URLフィールドをそのままhref属性（a href="{$linkURL}" …）に埋め込んでページネーションリンクを作成しています。認証された管理者または`/dashboard/reports/forms/legacy`へのアクセス権を持つレポート閲覧者が細工されたURLをクリックすると、自身のセッションでペイロードが実行されます。Concrete CMSのセキュリティチームは、この脆弱性にCVSS v4.0スコア6.0（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N）を付与しました。報告してくれたYonatan Drori（Tenzai）に感謝しています。

Concrete CMSのバージョン9.5.0以下には、再認証なしでパスワードを変更し、セッション強化を回避できる脆弱性があります。ユーザープロフィール編集コントローラーは、フィールドのホワイトリスト化を行わずに生のPOST配列全体をUserInfo::update()に渡すため、現在のパスワードの入力を求めずにパスワードを変更できます。また、登録ユーザーはセッションバリデーターのユーザーごとのIPピニングを無効化でき、この機能はハイジャック検出のためのものです。Concrete CMSセキュリティチームは、この脆弱性にCVSS v4.0でスコア5.3を付けており、ベクターはCVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:Nです。報告者は0x4c616eに感謝しています。

Concrete CMS 9.5.0以下のバージョンには、アンケートにおけるIDORの脆弱性があります。この脆弱性が発生するためには、サイトが公開アンケートと非公開アンケートの両方を含むように設定されている必要があります。認証されていない攻撃者は、公開アンケートのエンドポイントを通じて制限されたoptionIDを送信し、制限されたアンケートに投票することが可能です。Concrete CMSのセキュリティチームは、この脆弱性に対しCVSS v4.0に基づくスコアを6.3と評価しており、ベクターはCVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:Nとしています。報告者はZer0daySec（https://github.com/Zee99y）です。

Concrete CMS 9.5.0以下には、Backend\File::approveVersionを介したCSRFの脆弱性があります。edit_file_contents権限を持つ被害者がCSRF攻撃を受けると、攻撃者が選択した以前にアップロードされたバージョンを公開させられます（ファイルの古いバージョンへのダウングレード、または共同編集者の未公開バージョンの有効化が可能です）。Concrete CMSのセキュリティチームは、この脆弱性にCVSS v.4.0のスコア2.3を付けており、ベクターはCVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:Nです。報告者のWinston Crookerに感謝します。

Concrete CMS 9.5.0以下には、ExpressアソシエーションのReorderダイアログにおいてIDORと誤った認可レベルの脆弱性があります。この脆弱性により、1つのエントリに対して閲覧専用権限を持つユーザーがクロスエンティティの状態改ざんを行う可能性があります。影響を受けるためには、ウェブサイトがExpressを使用し、Expressエンティティの並び順に依存している必要があります。Concrete CMSのセキュリティチームは、この脆弱性にCVSS v4.0スコア2.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N）を付与しました。報告者はWinston Crookerに感謝しています。

Concrete CMS バージョン 9.0 から 9.5.0 にかけて、Atomik テーマのページ名を介した保存型 XSS の脆弱性が存在します。悪意のある編集者が任意の JavaScript を注入でき、影響を受けるアカウントページを訪問した認証済みユーザーのコンテキストでそのスクリプトが実行されます。これにより、セッションハイジャックや資格情報の窃取、ユーザーに代わって悪意のある操作が行われる可能性があり、権限昇格のリスクも生じます。Concrete CMS セキュリティチームはこの脆弱性に対して CVSS v4.0 スコア 2.1 を付与し、ベクターは CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N となっています。報告者は Yonatan Drori (Tenzai) に感謝します。

Devolutions ServerのPAMモジュールに認可不足の脆弱性があり、PAMライセンスを持つ認証済みユーザーが追加の権限を必要とせず、PAM APIエンドポイントに対する細工されたリクエストを通じてOTPのシークレットキーおよびリカバリーコードを取得できてしまいます。この問題はDevolutions Serverのバージョン2025.3.16.0以前および2026.1.6.0から2026.1.11.0までに影響します。

Concrete CMS 9のバージョン9.5.0未満には、concrete/controllers/backend/fileのapproveVersion()にクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。Concrete CMSのセキュリティチームは、この脆弱性に対してCVSS v4.0でスコア2.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N）を付けました。報告者はYonatan Drori（Tenzai）に感謝しています。