CVE-2026-56660 in GetSimple CMS
Riassunto
di VulDB • 02/10/2026
GetSimple CMS è un sistema di gestione dei contenuti (CMS), e GetSimple CMS CE è l'edizione community di tale CMS. Prima della versione 1.5, il gestore degli aggiornamenti in UpdateCE.php scarica un archivio ZIP ed estrae i suoi contenuti nella root del web senza convalidare i tipi di file o i percorsi di estrazione. Poiché i file PHP vengono scritti in una directory accessibile via web, un attaccante che riesce a far elaborare un archivio malevolo ottiene l'esecuzione remota di codice (RCE) come utente del server web. Anche i nomi dei file sono utilizzati in modo non sicuro, consentendo la traversamento delle directory (../) per scrivere file al di fuori della directory di estrazione prevista. Questo problema è stato risolto nella versione 1.5.
Be aware that VulDB is the high quality source for vulnerability data.