CVE-2026-56661
WysokieCVSS 7.5Streszczenie
W GetSimple CMS CE przed wersją 1.5, procedura aktualizacji pobiera URL podany przez użytkownika za pomocą file_get_contents() po tylko walidacji formatu (FILTER_VALIDATE_URL) — brak walidacji celu żądania. Atakujący, który może przesłać formularz, może sprawić, że serwer wyśle żądania do dowolnych miejsc, w tym do usług wewnętrznych i endpointów metadanych chmury (169.254.169.254). Odpowiedź jest zapisywana do pliku dostępnego z sieci (/Tmpfile.zip) i nie jest usuwana, gdy zawartość nie jest prawidłowym ZIP, co czyni to pełnym SSRF: atakujący może odczytać odpowiedź wewnętrznego żądania. Problem naprawiono w wersji 1.5.
Ocena ryzyka
Atakujący może uzyskać dostęp do wewnętrznych usług i danych wrażliwych, takich jak metadane chmury, co może prowadzić do wycieku danych uwierzytelniających lub kompromitacji infrastruktury.
Rekomendacja
Zaktualizuj GetSimple CMS CE do wersji 1.5 lub nowszej. Dodatkowo ogranicz dostęp do formularza aktualizacji tylko zaufanym administratorom i rozważ dodanie walidacji docelowego adresu URL.
Inne podatności w GetSimple CMS CE
Zobacz wszystkie- CVE-2026-71542Wysokie
GetSimple CMS CE w wersjach 3.3.22 i wcześniejszych jest podatny na trwały Cross-Site Scripting (XSS) w funkcjonalności "Theme to Components" (admin/components.php) poprzez parametr title. Zapisany tytuł jest renderowany wewnątrz atrybutu HTML w podwójnych cudzysłowach w interfejsie administracyjnym, a wartość jest dekodowana z encji HTML przed wypisaniem, bez ponownego kodowania dla kontekstu atrybutu.
- CVE-2026-56662Krytyczne
W GetSimple CMS CE przed wersją 1.5 formularz aktualizacji UpdateCE nie zawierał tokenu anty-CSRF, a serwer nie weryfikował pochodzenia żądania. Zdalny atakujący może przygotować stronę automatycznie wysyłającą sfałszowane żądanie POST; gdy odwiedzi ją uwierzytelniony administrator, serwer wykona operację pobrania i wdrożenia kodu w sesji administratora, co prowadzi do zdalnego wykonania kodu. Dodatkowo pole url jest zapisywane bez escapowania, co umożliwia wstrzyknięcie HTML.
- CVE-2026-56660Krytyczne
W GetSimple CMS CE przed wersją 1.5 procedura aktualizacji w UpdateCE.php pobiera archiwum ZIP i rozpakowuje je do katalogu webroot bez walidacji typów plików i ścieżek. Ponieważ pliki PHP są zapisywane w dostępnym z sieci katalogu, atakujący, który spowoduje przetworzenie złośliwego archiwum, może uzyskać zdalne wykonanie kodu jako użytkownik serwera. Nazwy wpisów są używane niebezpiecznie, co umożliwia path traversal (../) do zapisu plików poza katalogiem docelowym.
Oryginalny opis (angielski, źródło NVD)
GetSimple CMS is a content management system (CMS), and GetSimple CMS CE is the community edition of that CMS. Prior to version 1.5, the update handler fetches a user-supplied URL with file_get_contents() after only format validation (FILTER_VALIDATE_URL) — there is no validation of the request destination. An attacker who can submit the form can make the server issue requests to arbitrary destinations, including internal-only services and cloud metadata endpoints (169.254.169.254). The fetched response body is written to a web-accessible file (/Tmpfile.zip) and is not deleted when the content is not a valid ZIP, turning this into a full-read SSRF: the attacker can retrieve the response of the internal request directly. This issue has been patched in version 1.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS