CVE-2026-53953
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
GetSimple CMS CE w wersji 3.3.22 pozwala na dostęp do punktu końcowego resetowania hasła bez uwierzytelniania. Po zgłoszeniu żądania resetu dla istniejącego użytkownika aplikacja generuje nowe hasło tymczasowe i natychmiast zapisuje jego hash jako nowe hasło użytkownika. Hasło tymczasowe jest generowane za pomocą PHP rand() z ziarnem microtime(), a ponieważ ziarno jest oparte na czasie i ma ograniczoną przestrzeń wyszukiwania, atakujący może generować kandydatów na hasło resetu i testować ich online, ponieważ logowanie administratora nie wymusza ograniczania szybkości ani blokady konta.
Ocena ryzyka
Skuteczne wykorzystanie może doprowadzić do przejęcia konta administratora. Brak publicznie dostępnych poprawek w momencie publikacji zwiększa ryzyko.
Rekomendacja
W momencie publikacji nie ma publicznie dostępnych poprawek; zaleca się monitorowanie wydania poprawki i wdrożenie jej niezwłocznie po udostępnieniu oraz rozważenie ograniczeń dostępu do punktu resetowania hasła.
Inne podatności w GetSimple CMS
Zobacz wszystkie- CVE-2017-8081Wysokie
Słaba inicjalizacja soli kryptograficznej w pliku admin/inc/template_functions.php w GetSimple CMS 3.3.13 umożliwia atakującemu w sieci eskalację uprawnień do dowolnego użytkownika lub przeprowadzenie ataków CSRF poprzez obliczenie ciasteczka sesyjnego lub nonce CSRF.
- CVE-2014-8722Wysokie
GetSimple CMS w wersji 3.3.4 pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez bezpośrednie żądanie do określonych plików XML.
- CVE-2026-53952Krytyczne
GetSimple CMS (wersje 3.4.0a i starsze) oraz GetSimple CMS CE (wersje 3.3.22 i starsze) zawierają błąd logiczny pozwalający nieuwierzytelnionemu atakującemu utworzyć nowe konto administratora. Mechanizm automatycznego usuwania pliku admin/setup.php po instalacji jest neutralizowany przez błąd samowykluczenia, przez co skrypt instalacyjny pozostaje dostępny. W momencie publikacji nie są znane żadne wersje z poprawką.
- CVE-2026-71426Wysokie
W GetSimple CMS i GetSimple CMS CE w wersjach 3.3.22 i wcześniejszych, uwierzytelniony użytkownik z uprawnieniami do edycji stron może zapisać dowolną ścieżkę systemu plików w atrybucie szablonu strony. Na publicznym froncie wartość ta jest przekazywana bez sanityzacji do funkcji PHP include() podczas renderowania strony, co umożliwia Local File Inclusion z przechodzeniem po katalogach i wykonaniem dowolnych plików lokalnych (jeśli zawierają PHP). Brak publicznie dostępnych łat.
- CVE-2026-70650Wysokie
W GetSimple CMS i GetSimple CMS CE w wersjach 3.3.22 i wcześniejszych istnieje podatność na przechowywany Cross-Site Scripting (XSS) w podglądzie kopii zapasowych stron (admin/backup-edit.php). Pola stron są poprawnie kodowane HTML przy zapisie, ale podgląd kopii zapasowej dekoduje je ponownie (htmldecode() / strip_decode()) i wyświetla wynik bez ponownego escapowania. Użytkownik z uprawnieniami do edycji strony może zapisać JavaScript w polach Keywords, Description, Menu text lub Content; wykonuje się on w przeglądarce administratora przeglądającego kopię zapasową, w kontekście panelu administracyjnego. Brak publicznie dostępnych łat.
Oryginalny opis (angielski, źródło NVD)
GetSimple CMS is a content management system (CMS), and GetSimple CMS CE is the community edition of that CMS. In version 3.3.22, the password reset endpoint can be accessed without authentication. When a reset request is submitted for an existing user, the application generates a new temporary password and immediately stores its hash as the user's new password. The temporary password is generated using PHP rand() seeded with microtime(). Because this seed is time-based and has a limited effective search space, an attacker can generate possible reset password candidates. Since the admin login endpoint does not enforce rate limiting or account lockout, these candidates can be tested online until the correct password is found. Successful exploitation may lead to administrator account takeover. At time of publication, there are no publicly available patches.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS