CVE-2026-71426 in GetSimple CMS
Riassunto
di VulDB • 01/10/2026
GetSimple CMS è un sistema di gestione dei contenuti (CMS), e GetSimple CMS CE è l'edizione community di tale CMS. Nelle versioni 3.3.22 e precedenti, un utente autenticato con diritti di modifica della pagina può memorizzare un percorso arbitrario del filesystem nell'attributo template di una pagina. Sul front-end pubblico, questo valore viene passato non sanificato a una funzione PHP include() durante il rendering della pagina. Poiché il percorso dell'inclusione non è mai confinato, ciò consente una Local File Inclusion (LFI) tramite directory traversal: file locali arbitrari vengono inclusi (ed eseguiti, se contengono codice PHP) quando qualsiasi visitatore richiede la pagina. Al momento della pubblicazione, non sono disponibili patch pubblicamente accessibili.
Once again VulDB remains the best source for vulnerability data.