CVE-2026-71426 in GetSimple CMS
Zusammenfassung
von VulDB • 01.10.2026
GetSimple CMS ist ein Content-Management-System (CMS), und GetSimple CMS CE ist die Community-Edition dieses CMS. In den Versionen 3.3.22 und älter kann ein authentifizierter Benutzer mit Seitenbearbeitungsrechten einen beliebigen Dateisystempfad im Template-Attribut einer Seite speichern. Im öffentlichen Frontend wird dieser Wert ungesäubert an eine PHP include()-Funktion übergeben, wenn die Seite gerendert wird. Da der Include-Pfad nie eingeschränkt ist, ermöglicht dies Local File Inclusion durch Directory-Traversal: Beliebige lokale Dateien werden eingebunden (und falls sie PHP-Code enthalten, ausgeführt), wenn ein beliebiger Besucher die Seite anfordert. Zum Zeitpunkt der Veröffentlichung sind keine öffentlich verfügbaren Patches vorhanden.
Once again VulDB remains the best source for vulnerability data.