CVE-2026-53952
KrytyczneCVSS 9.8Streszczenie
GetSimple CMS (wersje 3.4.0a i starsze) oraz GetSimple CMS CE (wersje 3.3.22 i starsze) zawierają błąd logiczny pozwalający nieuwierzytelnionemu atakującemu utworzyć nowe konto administratora. Mechanizm automatycznego usuwania pliku admin/setup.php po instalacji jest neutralizowany przez błąd samowykluczenia, przez co skrypt instalacyjny pozostaje dostępny. W momencie publikacji nie są znane żadne wersje z poprawką.
Ocena ryzyka
Każdy może zdalnie utworzyć konto administratora w niezaktualizowanej instalacji GetSimple CMS, co prowadzi do pełnego przejęcia serwisu.
Rekomendacja
Ręcznie usuń lub zablokuj dostęp do pliku admin/setup.php po instalacji oraz rozważ migrację na aktywnie utrzymywany system CMS, ponieważ brak jest oficjalnej poprawki.
Inne podatności w GetSimple CMS
Zobacz wszystkie- CVE-2017-8081Wysokie
Słaba inicjalizacja soli kryptograficznej w pliku admin/inc/template_functions.php w GetSimple CMS 3.3.13 umożliwia atakującemu w sieci eskalację uprawnień do dowolnego użytkownika lub przeprowadzenie ataków CSRF poprzez obliczenie ciasteczka sesyjnego lub nonce CSRF.
- CVE-2014-8722Wysokie
GetSimple CMS w wersji 3.3.4 pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez bezpośrednie żądanie do określonych plików XML.
Oryginalny opis (angielski, źródło NVD)
GetSimple CMS is a content management system (CMS), and GetSimple CMS CE is the community edition of that CMS. A logic flaw in GetSimple CMS (v3.4.0a and below) and GetSimpleCMS-CE (v3.3.22 and below) allows unauthenticated attackers to create a new administrator account. The application features an automated security control designed to delete the sensitive `admin/setup.php` file post-installation. However, this control is neutralized by a self-exclusion bug within the deletion logic, leaving the setup script accessible for unauthorized account creation even after a legitimate installation is completed. As of time of publication, no known patched versions are available.