CVE-2026-56662

Nome do Software Vulnerável e Versões Afetadas GetSimple CMS versões anteriores a 1.5

Description O formulário de atualização UpdateCE não possui tokens anti-CSRF, e o manipulador POST não verifica tokens ou a origem da requisição. Isso permite que um invasor remoto hospede uma página que envia automaticamente uma requisição POST forjada para o endpoint de atualização. Se um administrador autenticado visitar essa página, o servidor executa uma operação de download e implantação na sessão do administrador sem interação adicional. Como o conteúdo implantado é executado, isso resulta em execução remota de código. Além disso, o campo url é gravado no formulário sem a devida sanitização, criando um ponto de injeção de HTML via um arquivo upgrade.json malicioso.

Recommendations Atualizar para a versão 1.5.