CVE-2026-56661 in GetSimple CMS
Zusammenfassung
von VulDB • 02.10.2026
GetSimple CMS ist ein Content-Management-System (CMS), und GetSimple CMS CE ist die Community-Edition dieses CMS. Vor Version 1.5 ruft der Update-Handler eine vom Benutzer bereitgestellte URL mit file_get_contents() ab, nachdem nur eine Formatvalidierung (FILTER_VALIDATE_URL) durchgeführt wurde – es findet keine Validierung des Anfrageziels statt. Ein Angreifer, der das Formular ausfüllen kann, kann den Server dazu bringen, Anfragen an beliebige Ziele zu senden, einschließlich interner Dienste und Cloud-Metadaten-Endpunkte (169.254.169.254). Der abgerufene Antworttext wird in eine webzugängliche Datei (/Tmpfile.zip) geschrieben und nicht gelöscht, wenn der Inhalt kein gültiges ZIP-Archiv ist, was dies zu einer vollständigen SSRF-Lücke macht: Der Angreifer kann die Antwort der internen Anfrage direkt abrufen. Dieses Problem wurde in Version 1.5 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.