CVE-2014-8722
WysokieStreszczenie
GetSimple CMS w wersji 3.3.4 pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez bezpośrednie żądanie do określonych plików XML.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do poufnych danych, co może prowadzić do dalszych ataków lub naruszenia prywatności użytkowników.
Rekomendacja
Zaleca się zaktualizowanie GetSimple CMS do najnowszej wersji oraz zabezpieczenie dostępu do wrażliwych plików.
Inne podatności w GetSimple CMS 3.3.4
Zobacz wszystkie- CVE-2017-8081Wysokie
Słaba inicjalizacja soli kryptograficznej w pliku admin/inc/template_functions.php w GetSimple CMS 3.3.13 umożliwia atakującemu w sieci eskalację uprawnień do dowolnego użytkownika lub przeprowadzenie ataków CSRF poprzez obliczenie ciasteczka sesyjnego lub nonce CSRF.
- CVE-2026-53952Krytyczne
GetSimple CMS (wersje 3.4.0a i starsze) oraz GetSimple CMS CE (wersje 3.3.22 i starsze) zawierają błąd logiczny pozwalający nieuwierzytelnionemu atakującemu utworzyć nowe konto administratora. Mechanizm automatycznego usuwania pliku admin/setup.php po instalacji jest neutralizowany przez błąd samowykluczenia, przez co skrypt instalacyjny pozostaje dostępny. W momencie publikacji nie są znane żadne wersje z poprawką.
Oryginalny opis (angielski, źródło NVD)
GetSimple CMS 3.3.4 allows remote attackers to obtain sensitive information via a direct request to (1) data/users/<username>.xml, (2) backups/users/<username>.xml.bak, (3) data/other/authorization.xml, or (4) data/other/appid.xml.