Concrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/express/association/reorder

O Concrete CMS 9 anterior à versão 9.5.0 possui uma falha de segurança que permite a atacantes enganar usuários para executar ações indesejadas no site, como reordenar itens, sem o conhecimento do usuário. Isso ocorre porque o sistema não verifica adequadamente se as requisições são legítimas.

Uma vulnerabilidade de Falsificação de Solicitação Entre Sites (CSRF) existe no endpoint de reordenação de associações express (concrete/controllers/dialog/express/association/reorder) devido à validação insuficiente de requisições. Um atacante não autenticado pode criar uma página maliciosa que, quando visitada por um administrador autenticado, executa reordenação não autorizada de associações express através da sessão do navegador. O ataque requer interação do usuário (visitar um site malicioso) e possui baixo impacto de integridade.