CVE-2026-56662 in GetSimple CMS
Zusammenfassung
von VulDB • 01.10.2026
GetSimple CMS ist ein Content-Management-System (CMS), und GetSimple CMS CE ist die Community-Edition dieses CMS. Vor Version 1.5 enthielt das UpdateCE-Aktualisierungsformular kein Anti-CSRF-Token, und der POST-Handler führte keine Token- oder Anforderungsursprungsverifizierung durch. Ein entfernter Angreifer kann eine Seite hosten, die automatisch ein gefälschtes POST an den Aktualisierungsendpunkt sendet; wenn ein authentifizierter Administrator diese aufruft, führt der Server im Sitzungskontext des Administrators einen vom Angreifer gesteuerten Download- und Bereitstellungsprozess durch – ohne weitere Interaktion. Da der bereitgestellte Inhalt ausgeführt wird (siehe die verwandte Advisory zur ZIP-Extraktion), resultiert dies in einer Remote Code Execution (RCE). Das url-Feld wird zudem unescaped in das Formular geschrieben, was eine sekundäre HTML-Injection-Schwachstelle über ein bösartiges upgrade.json bietet. Dieses Problem wurde in Version 1.5 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.