CVE-2026-88418

CMSimple 5.24, varsayılan olarak CSRF koruması devre dışı bırakılmış şekilde gelmektedir; bu durum her durum değiştirici yönetici isteğinde csrfProtection() fonksiyonunu etkisiz hale getirir ve yönetici formlarında csrf_token gizli alanı gönderilmez. Yönetici kimlik doğrulaması yalnızca çerez tabanlı olduğu ve herhangi bir CSRF belirteci zorunlu kılınmadığı için, kimliği doğrulanmamış bir saldırgan, oturumu açık olan bir yöneticinin tarayıcısını, betik işaretçisi içeren bir metin yüküyle sahte bir içerik kaydetme isteği göndermeye zorlayabilir. İşaretçi, content/content.php dosyasına aynen kaydedilir; sonraki her sayfa görüntülemesinde evaluate_cmsimple_scripting() (functions.php), işaretçi gövdesini PHP eval() ile yürütür — bu işlem, kimliği doğrulanmamış olanlar da dahil olmak üzere tüm ziyaretçiler için geçerlidir. Bu durum, web sunucusunda kalıcı uzaktan kod çalıştırmaya yol açar.