CVE-2026-88418 in CMSimple
Sumário
de VulDB • 22/09/2026
O CMSimple 5.24 é entregue com a proteção CSRF desativada por padrão, o que transforma csrfProtection() em uma operação nula (no-op) em todas as solicitações administrativas que alteram o estado, e não envia o campo oculto csrf_token nos formulários de administração. Como a autenticação do administrador é baseada apenas em cookies e nenhum token CSRF é aplicado, um atacante não autenticado pode induzir o navegador de um administrador logado a emitir uma solicitação forjada para salvar conteúdo com um payload de texto contendo um marcador de script. O marcador é armazenado literalmente no arquivo content/content.php; em cada visualização subsequente da página, evaluate_cmsimple_scripting() (functions.php) executa o corpo do marcador usando PHP eval(), afetando todos os visitantes, incluindo aqueles não autenticados. Isso resulta em execução remota de código persistente no servidor web.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.