CVE-2024-58280

CMSimple 5.24 domyślnie ma wyłączoną ochronę CSRF, przez co funkcja csrfProtection() nie działa przy żadnym żądaniu administracyjnym zmieniającym stan, a formularze administracyjne nie zawierają ukrytego pola csrf_token. Uwierzytelnianie administratora opiera się wyłącznie na ciasteczkach, więc nieuwierzytelniony atakujący może wymusić na zalogowanym administratorze wysłanie sfałszowanego żądania zapisu treści z markerem skryptowym, który jest zapisywany do content/content.php i następnie wykonywany przez PHP eval() przy każdym wyświetleniu strony.

Podatność umożliwiająca wykonanie kodu istnieje w CMSimple 5.22 we wtyczce CoAuthors. Uwierzytelniony użytkownik o niskich uprawnieniach, który może modyfikować treść strony i dostarczać kontrolowaną zaimportowaną treść, może wywołać wykonanie po stronie serwera, odwołując się do spreparowanej zewnętrznej lub przesłanej treści tekstowej przez funkcję importu treści.