CVE-2026-56662
Təsvir
GetSimple CMS məzmun idarəetmə sistemidir (CMS), GetSimple CMS CE isə həmin CMS-in icma versiyasıdır. Versiya 1.5-dən əvvəl UpdateCE yeniləmə forması anti-CSRF tokeni ehtiva etmir və POST idarəedicisi heç bir token və ya sorğu mənşəyi yoxlaması aparmırdı. Uzaqdakı hücumçu, yeniləmə son nöqtəsinə saxtalaşdırılmış POST sorğusunu avtomatik göndərən səhifə yerləşdirə bilər; autentifikasiya olunmuş administrator həmin səhifəni ziyarət etdikdə, server administratorın sessiyasında hücumçunun istiqamətləndirdiyi yükləmə və tətbiq etmə əməliyyatını əlavə qarşılıqlı əlaqə olmadan yerinə yetirir. Tətbiq edilən məzmun icra edildiyi üçün (əlaqədar ZIP-çıxarma bildirişinə baxın), bu, uzaqdan kodun icrasına gətirib çıxarır. Əlavə olaraq, url sahəsi formaya filtrlənmədən yazılır ki, bu da zərərli upgrade.json vasitəsilə ikincili HTML-inyeksiya imkanı yaradır. Bu problem versiya 1.5-də aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| GetSimpleCMS-CE GetSimpleCMS-CE | < 1.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.