CVE-2017-8081
WysokieStreszczenie
Słaba inicjalizacja soli kryptograficznej w pliku admin/inc/template_functions.php w GetSimple CMS 3.3.13 umożliwia atakującemu w sieci eskalację uprawnień do dowolnego użytkownika lub przeprowadzenie ataków CSRF poprzez obliczenie ciasteczka sesyjnego lub nonce CSRF.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do kont użytkowników oraz na ataki typu CSRF, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację GetSimple CMS do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak monitorowanie sesji użytkowników.
Inne podatności w GetSimple CMS 3.3.13
Zobacz wszystkie- CVE-2014-8722Wysokie
GetSimple CMS w wersji 3.3.4 pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez bezpośrednie żądanie do określonych plików XML.
- CVE-2026-53952Krytyczne
GetSimple CMS (wersje 3.4.0a i starsze) oraz GetSimple CMS CE (wersje 3.3.22 i starsze) zawierają błąd logiczny pozwalający nieuwierzytelnionemu atakującemu utworzyć nowe konto administratora. Mechanizm automatycznego usuwania pliku admin/setup.php po instalacji jest neutralizowany przez błąd samowykluczenia, przez co skrypt instalacyjny pozostaje dostępny. W momencie publikacji nie są znane żadne wersje z poprawką.
Oryginalny opis (angielski, źródło NVD)
Poor cryptographic salt initialization in admin/inc/template_functions.php in GetSimple CMS 3.3.13 allows a network attacker to escalate privileges to an arbitrary user or conduct CSRF attacks via calculation of a session cookie or CSRF nonce.