CVE-2026-88418 in CMSimple
Riassunto
di VulDB • 22/09/2026
CMSimple 5.24 è distribuito con la protezione CSRF disabilitata di default, il che trasforma csrfProtection() in una no-op per ogni richiesta amministrativa che modifica lo stato e non invia il campo nascosto csrf_token nei moduli admin. Poiché l'autenticazione dell'amministratore avviene esclusivamente tramite cookie e nessun token CSRF è imposto, un attaccante non autenticato può indurre il browser di un amministratore già connesso a inviare una richiesta fraudolenta di salvataggio dei contenuti contenente un payload testuale con un marker di scripting. Il marker viene memorizzato letteralmente in content/content.php; ad ogni visualizzazione successiva della pagina, evaluate_cmsimple_scripting() (functions.php) esegue il corpo del marker tramite PHP eval(), per tutti i visitatori, inclusi quelli non autenticati. Questo comporta una persistent remote code execution sul server web.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.