GetSimpleCMS-CE: Cross-Site Request Forgery in UpdateCE ermöglicht Remote Code Execution
Zusammenfassung
GetSimpleCMS-CE, ein dateibasiertes Content-Management-System, hat ein UpdateCE-Formular ohne Schutz gegen CSRF und ohne Prüfung der Anfrageherkunft. Ein Angreifer kann eine Seite hosten, die eine gefälschte Anfrage automatisch an den Update-Endpunkt sendet, woraufhin der Server vom Angreifer gewählte Inhalte herunterlädt und einsetzt. Voraussetzung ist, dass ein angemeldeter Administrator die Seite des Angreifers besucht; die eingesetzten Inhalte werden ausgeführt, was zu Remote Code Execution führt. Zusätzlich besteht eine HTML-Injection, da das Feld url unescaped in das Formular geschrieben wird.
Betroffen
- GetSimpleCMS-CE-Versionen unter 1.5 (das Advisory nennt <= 1.4)
- Die Zuordnung der Version 1.5 aus der CVE zur CE-Versionsnummerierung (3.3.x) ist nicht vollständig bestätigt; Advisory GHSA prüfen
Behoben in
- Auf GetSimpleCMS-CE 1.5 oder neuer aktualisieren (gemäss CVE- und Advisory-Text)
Umgehung
- Dem Hersteller ist keine dokumentierte Workaround-Massnahme bekannt.
- Den Zugriff auf das Admin-Interface auf vertrauenswürdige Netze oder VPN beschränken.
- Ausgehende Verbindungen des Servers auf vertrauenswürdige Update-Quellen beschränken.
- Administratoren bitten, während der Anmeldung im Admin-Bereich keine anderen Websites aufzurufen, bis das Update abgeschlossen ist.
Ausnutzung
- CISA SSVC: Exploitation-Status 'poc', Automatisierbarkeit 'no', technische Auswirkung 'total'.
- Nicht im CISA-KEV-Katalog aufgeführt; keine bekannte aktive Ausnutzung.
- Öffentlicher Proof of Concept: widersprüchliche Angaben; als unbekannt behandeln und erneut prüfen.
- EPSS-Wert laut Quelle 0.00216 (niedrig).
Unsere Empfehlung
- Alle GetSimple-CE-Installationen inventarisieren und deren Versionen prüfen.
- Nach Prüfung der Versionszuordnung im GHSA-Advisory auf Version 1.5 oder neuer aktualisieren.
- Den Zugriff auf das Admin-Interface auf vertrauenswürdige Netze oder VPN beschränken.
- Den Webserver auf unerwartete Dateiänderungen und ausgehende Downloads überwachen.
- Hohe Priorität behandeln, insbesondere wenn das Admin-Interface aus dem Internet erreichbar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-2rxv-4g4m-573w github.com
- VulDB CVE-2026-56662 vuldb.com
- Vulners CVE-2026-56662 vulners.com
- The Hacker Wire: CVE-2026-56662 www.thehackerwire.com
- GetSimpleCMS-CE releases github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.