CVE-2026-88418
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
CMSimple 5.24 domyślnie ma wyłączoną ochronę CSRF, przez co funkcja csrfProtection() nie działa przy żadnym żądaniu administracyjnym zmieniającym stan, a formularze administracyjne nie zawierają ukrytego pola csrf_token. Uwierzytelnianie administratora opiera się wyłącznie na ciasteczkach, więc nieuwierzytelniony atakujący może wymusić na zalogowanym administratorze wysłanie sfałszowanego żądania zapisu treści z markerem skryptowym, który jest zapisywany do content/content.php i następnie wykonywany przez PHP eval() przy każdym wyświetleniu strony.
Ocena ryzyka
Prowadzi to do trwałego zdalnego wykonania kodu na serwerze WWW dla wszystkich odwiedzających, w tym nieuwierzytelnionych, co może skutkować pełnym przejęciem serwera.
Rekomendacja
Natychmiast zaktualizuj CMSimple do wersji z poprawką, a w międzyczasie włącz ochronę CSRF i wymuszaj tokeny CSRF w formularzach administracyjnych.
Inne podatności w CMSimple
Zobacz wszystkie- CVE-2026-78834Wysokie
Podatność umożliwiająca wykonanie kodu istnieje w CMSimple 5.22 we wtyczce CoAuthors. Uwierzytelniony użytkownik o niskich uprawnieniach, który może modyfikować treść strony i dostarczać kontrolowaną zaimportowaną treść, może wywołać wykonanie po stronie serwera, odwołując się do spreparowanej zewnętrznej lub przesłanej treści tekstowej przez funkcję importu treści.
- CVE-2024-58280Wysokie
CMSimple 5.15 zawiera podatność umożliwiającą zdalne wykonanie poleceń przez uwierzytelnionego atakującego. Można zmodyfikować rozszerzenia plików i przesłać złośliwy plik PHP, dodając ',php' do Extensions_userfiles i przesyłając shell do katalogu mediów.
Oryginalny opis (angielski, źródło NVD)
CMSimple 5.24 ships with CSRF protection disabled by default, which turns csrfProtection() into a no-op on every state-changing admin request, and it does not send the csrf_token hidden field in admin forms. Because administrator authentication is cookie-only and no CSRF token is enforced, an unauthenticated attacker can induce a logged-in administrator's browser to issue a forged content-save request with a text payload containing a scripting marker. The marker is stored verbatim into content/content.php; on every subsequent page view evaluate_cmsimple_scripting() (functions.php) executes the marker body with PHP eval() — for all visitors, including unauthenticated ones. This yields persistent remote code execution on the web server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS