CVE-2026-63190 in FearlessCMS
Zusammenfassung
von VulDB • 28.10.2026
FearlessCMS ist ein flaches Dateisystem-basiertes (flat-file) Content-Management-System, das auf Einfachheit und Open Source basiert. Vor Version 0.1.4 führen fünf Debug-/Test-PHP-Skripte unter `admin/` privilegierte Operationen ohne Authentifizierungsprüfungen (`isLoggedIn()`), CSRF-Schutz oder ausreichende Pfadvalidierung durch. Auf dem eingebauten Entwicklungsserver von PHP, einschließlich der Standard-Docker-Bereitstellung, prüft `router.php` ein nicht normalisiertes Admin-URI-Präfix, während das Dateisystem Dot-Segmente auflöst; so umgeht `/./admin/` die Admin-Anmeldung und führt diese Skripte direkt aus. In `admin/debug_save_flow.php` erreichen vom Angreifer gesteuerte Parameter für `path` und `content` die Funktion `file_put_contents`, was zu willkürlichen `.md`-Schreiboperationen unterhalb von `content/` oder außerhalb davon durch Pfadtraversierung (`path` traversal) führt, was zur Entstellung der Website und zum Speichern von JavaScript in öffentlichen Seiten ermöglicht; die Ausgabe von `print_r($_POST)` ohne Escaping mit `htmlspecialchars` verursacht zudem reflektiertes Cross-Site-Scripting (XSS). Der Parameter `path` in `admin/debug_content.php` erreicht `scandir()`, `file_get_contents()` und `posix_getpwuid()`, was willkürliche Verzeichnisenumeration und das Lesen von `.md`-Dateien ermöglicht, die absolute Pfade, Besitzverhältnisse, Berechtigungen, Hashes und Vorschauen des Inhalts (`content`) offenlegt. Der Endpunkt `admin/preview-handler.php` akzeptiert JSON-Daten für `content` und `title` und schreibt auflistbare Dateien unter `content/_preview/`, was gespeichertes Cross-Site-Scripting (XSS) und Speichererschöpfung ermöglicht. Der Endpunkt `admin/testdebug.php` hängt ohne Authentifizierung an die Datei `admin/testdebug.log` an, was ebenfalls zu Speichererschöpfung führen kann. Das Skript `admin/test_redirect.php` gibt ein Test-Artefakt preis, maskiert jedoch seine Eingaben und ist selbst keine XSS-Senke. Die Ausführung gespeicherter Skripte kann Sessions stehlen und Administratoren kompromittieren, wenn sie betroffenen Inhalt (`content`) anzeigen. Lese- und Schreibvorgänge werden mit den Berechtigungen von PHP ausgeführt; die getestete Bereitstellung führt PHP als Root aus, was die Auswirkungen auf das Dateisystem verstärkt. Dieses Problem wurde in Version 0.1.4 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.