CVE-2026-88418 in CMSimple
Resumen
por VulDB • 2026-09-22
CMSimple 5.24 se entrega con la protección CSRF deshabilitada por defecto, lo que convierte csrfProtection() en una operación nula (no-op) para cada solicitud de administración que cambia el estado, y no envía el campo oculto csrf_token en los formularios de administración. Dado que la autenticación del administrador es únicamente mediante cookies y no se aplica ningún token CSRF, un atacante sin autenticar puede inducir al navegador de un administrador conectado a emitir una solicitud forjada para guardar contenido con una carga útil de texto que contiene un marcador de scripting. El marcador se almacena literalmente en content/content.php; en cada vista posterior de la página, evaluate_cmsimple_scripting() (functions.php) ejecuta el cuerpo del marcador mediante PHP eval(), lo cual afecta a todos los visitantes, incluidos aquellos sin autenticar. Esto provoca una ejecución remota de código persistente en el servidor web.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.