CVE-2026-71426
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W GetSimple CMS i GetSimple CMS CE w wersjach 3.3.22 i wcześniejszych, uwierzytelniony użytkownik z uprawnieniami do edycji stron może zapisać dowolną ścieżkę systemu plików w atrybucie szablonu strony. Na publicznym froncie wartość ta jest przekazywana bez sanityzacji do funkcji PHP include() podczas renderowania strony, co umożliwia Local File Inclusion z przechodzeniem po katalogach i wykonaniem dowolnych plików lokalnych (jeśli zawierają PHP). Brak publicznie dostępnych łat.
Ocena ryzyka
Atakujący może odczytać i wykonać dowolne pliki lokalne na serwerze, co może prowadzić do pełnej kompromitacji systemu, kradzieży danych lub przejęcia kontroli nad aplikacją.
Rekomendacja
Zastosuj dostępne poprawki lub tymczasowo ogranicz dostęp do edycji stron tylko zaufanym użytkownikom. Dodatkowo zweryfikuj i sanityzuj ścieżki szablonów przed użyciem w include().
Inne podatności w GetSimple CMS
Zobacz wszystkie- CVE-2017-8081Wysokie
Słaba inicjalizacja soli kryptograficznej w pliku admin/inc/template_functions.php w GetSimple CMS 3.3.13 umożliwia atakującemu w sieci eskalację uprawnień do dowolnego użytkownika lub przeprowadzenie ataków CSRF poprzez obliczenie ciasteczka sesyjnego lub nonce CSRF.
- CVE-2014-8722Wysokie
GetSimple CMS w wersji 3.3.4 pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez bezpośrednie żądanie do określonych plików XML.
- CVE-2026-53953Krytyczne
GetSimple CMS CE w wersji 3.3.22 pozwala na dostęp do punktu końcowego resetowania hasła bez uwierzytelniania. Po zgłoszeniu żądania resetu dla istniejącego użytkownika aplikacja generuje nowe hasło tymczasowe i natychmiast zapisuje jego hash jako nowe hasło użytkownika. Hasło tymczasowe jest generowane za pomocą PHP rand() z ziarnem microtime(), a ponieważ ziarno jest oparte na czasie i ma ograniczoną przestrzeń wyszukiwania, atakujący może generować kandydatów na hasło resetu i testować ich online, ponieważ logowanie administratora nie wymusza ograniczania szybkości ani blokady konta.
- CVE-2026-53952Krytyczne
GetSimple CMS (wersje 3.4.0a i starsze) oraz GetSimple CMS CE (wersje 3.3.22 i starsze) zawierają błąd logiczny pozwalający nieuwierzytelnionemu atakującemu utworzyć nowe konto administratora. Mechanizm automatycznego usuwania pliku admin/setup.php po instalacji jest neutralizowany przez błąd samowykluczenia, przez co skrypt instalacyjny pozostaje dostępny. W momencie publikacji nie są znane żadne wersje z poprawką.
- CVE-2026-70650Wysokie
W GetSimple CMS i GetSimple CMS CE w wersjach 3.3.22 i wcześniejszych istnieje podatność na przechowywany Cross-Site Scripting (XSS) w podglądzie kopii zapasowych stron (admin/backup-edit.php). Pola stron są poprawnie kodowane HTML przy zapisie, ale podgląd kopii zapasowej dekoduje je ponownie (htmldecode() / strip_decode()) i wyświetla wynik bez ponownego escapowania. Użytkownik z uprawnieniami do edycji strony może zapisać JavaScript w polach Keywords, Description, Menu text lub Content; wykonuje się on w przeglądarce administratora przeglądającego kopię zapasową, w kontekście panelu administracyjnego. Brak publicznie dostępnych łat.
Oryginalny opis (angielski, źródło NVD)
GetSimple CMS is a content management system (CMS), and GetSimple CMS CE is the community edition of that CMS. In versions 3.3.22 and prior, an authenticated user with page-editing rights can store an arbitrary filesystem path in a page's template attribute. On the public front-end, this value is passed unsanitized to a PHP include() when the page is rendered. Because the include path is never confined, this allows directory-traversal Local File Inclusion: arbitrary local files are included (and, if they contain PHP, executed) when any visitor requests the page. At time of publication, there are no publicly available patches.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS