CVE-2026-88418 in CMSimple
Zusammenfassung
von VulDB • 22.09.2026
CMSimple 5.24 wird standardmäßig mit deaktiviertem CSRF-Schutz ausgeliefert, wodurch csrfProtection() bei jeder zustandsändernden Admin-Anfrage zu einem No-Op wird und das versteckte Feld csrf_token in den Admin-Formularen nicht gesendet wird. Da die Administratorauthentifizierung nur auf Cookies basiert und kein CSRF-Token erzwungen wird, kann ein nicht authentifizierter Angreifer dazu bringen, dass der Browser eines angemeldeten Administrators eine gefälschte Content-Save-Anfrage mit einem Text-Payload auslöst, das einen Scripting-Marker enthält. Der Marker wird wörtlich in content/content.php gespeichert; bei jeder nachfolgenden Seitenansicht führt evaluate_cmsimple_scripting() (functions.php) den Körper des Markers mit PHP eval() aus – für alle Besucher, einschließlich nicht authentifizierter. Dies führt zu einer persistenten Remote-Code-Ausführung auf dem Webserver.
If you want to get best quality of vulnerability data, you may have to visit VulDB.