GetSimple CMS CE: Uneingeschränkte ZIP-Extraktion im Update-Handler führt zu RCE
Zusammenfassung
Der Update-Handler (UpdateCE-Plugin) von GetSimple CMS CE entpackt ZIP-Archive ins Web-Root-Verzeichnis, ohne Dateitypen oder Eintragspfade zu prüfen. Ein Angreifer, der die Verarbeitung eines manipulierten Archivs auslösen kann, kann PHP-Dateien in ein webzugängliches Verzeichnis schreiben und Befehle als Benutzer des Webservers ausführen. Verzeichnisdurchquerungen (../) erlauben zudem das Schreiben von Dateien ausserhalb des Extraktionsverzeichnisses. Der CVSS-Vektor setzt hohe Berechtigungen voraus; laut Advisory kann die Schwachstelle auch über separat erfasste CSRF- und SSRF-Probleme erreicht werden.
Betroffen
- GetSimpleCMS-CE GetSimple CMS CE Versionen unter 1.5 (das GitHub-Advisory nennt <= 1.4)
Behoben in
- Auf Version 1.5 oder neuer aktualisieren
Umgehung
- Kein Workaround des Herstellers veröffentlicht.
- Übergangsmassnahmen aus Drittquellen, nicht vom Hersteller validiert: Update-Funktion deaktivieren oder einschränken, Zugriff auf den Admin-Bereich auf vertrauenswürdige Administratoren begrenzen, ausgehende Verbindungen des Webservers einschränken sowie die Ausführung von UpdateCE.php blockieren oder die Datei aus dem Web-Root verschieben. Dies kann die Update-Funktion beeinträchtigen.
Ausnutzung
- CISA SSVC führt die Ausnutzung als 'poc' (Proof of Concept verfügbar) und die Automatisierbarkeit als 'no'.
- Nicht in der CISA-KEV-Liste aufgeführt.
- Quellen sind sich uneinig, ob ein öffentlicher Exploit existiert; das Advisory enthält einen PoC.
- Der EPSS-Wert liegt bei etwa 0.5%.
Unsere Empfehlung
- Alle GetSimple-CMS-CE-Installationen erfassen und deren Versionen prüfen.
- Installationen unter 1.5 nach Test auf einer Kopie aktualisieren und die Quelle von Version 1.5 vor der Installation verifizieren.
- Bis dahin die Update-Funktion einschränken oder deaktivieren und den Administrationszugang auf vertrauenswürdige Netze und Konten begrenzen.
- Webserver-Logs auf unerwartete Update-Anfragen, neue PHP-Dateien im Web-Root und ungewöhnliche ausgehende Verbindungen des Servers prüfen.
- Die verwandten Schwachstellen CVE-2026-56661 (SSRF) und CVE-2026-56662 (CSRF) zusammen mit dieser prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-q5rx-gppg-768r github.com
- OpenCVE: CVE-2026-56660 app.opencve.io
- VulDB: CVE-2026-56660 vuldb.com
- Vulners VulnRichment: CVE-2026-56660 vulners.com
- TheHackerWire: CVE-2026-56660 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.