GetSimpleCMS-CE: Gespeichertes Cross-Site Scripting im Titel von Theme zu Komponenten
Zusammenfassung
GetSimpleCMS-CE bis und mit Version 3.3.22 enthält ein gespeichertes Cross-Site Scripting in der Funktion "Theme zu Komponenten" (admin/components.php) über den Parameter title. Die Ausgabe wird aus HTML-Entities zurückgewandelt und innerhalb eines Attributs in doppelten Anführungszeichen ohne erneute Kodierung ausgegeben, sodass eine gespeicherte Nutzlast das Attribut verlassen und JavaScript im Admin-Panel ausführen kann. Ein Angreifer mit Zugriff auf den Komponenten-Editor kann eine Nutzlast hinterlegen, die im Browser anderer Benutzer, einschliesslich Administratoren, ausgeführt wird, sobald diese die Seite Komponenten öffnen; dies kann zu Session-Diebstahl und administrativen Aktionen führen. Gemäss dem CNA-Vektor sind keine Privilegien erforderlich, das Advisory beschreibt jedoch einen authentifizierten Angriff, weshalb die tatsächliche Voraussetzung im GHSA überprüft werden sollte.
Betroffen
- GetSimpleCMS-CE Versionen 3.3.22 und älter
- Das Standard-GetSimple CMS (nicht CE) ist nicht als betroffen aufgeführt
Behoben in
- Unbekannt. Zum Zeitpunkt der Veröffentlichung ist keine korrigierte Version dokumentiert.
- Ob 3.3.23 oder eine spätere Version diese Schwachstelle behebt, ist unbekannt.
Umgehung
- Der Hersteller hat keinen Workaround veröffentlicht.
- Den Zugriff auf den Admin-Bereich per IP-Allowlist oder VPN einschränken.
- Die Anzahl Benutzer begrenzen, die Themes und Komponenten bearbeiten können.
Ausnutzung
- CISA SSVC: Exploitation-Status "poc", automatisierbar: nein, technische Auswirkung: partiell.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Öffentlicher Proof of Concept: unklar, nicht bestätigt.
Unsere Empfehlung
- Alle GetSimple-CE-Instanzen und deren Versionen inventarisieren.
- Zugriff auf das Admin-Panel einschränken (VPN oder IP-Allowlist) und starke Konten mit 2FA erzwingen, sofern unterstützt.
- Jede Instanz auf CVE-2026-53952 prüfen (unauthentifizierte Erstellung von Admin-Konten, CVSS 9.8); dies ist dringender.
- Bestehende Komponenten-Titel auf unerwarteten Script-Inhalt prüfen und das Admin-Panel überwachen.
- Den Admin-Bereich nicht mit privilegierten Sitzungen auf nicht vertrauenswürdigen Systemen aufrufen.
- Das GHSA-Advisory und die NVD auf eine Korrektur beobachten und die Bewertung bei Verfügbarkeit erneut vornehmen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-vqfh-838q-xfqh github.com
- OSV: CVE-2026-71542 osv.dev
- GetSimpleCMS-CE v3.3.22 release github.com
- GetSimpleCMS-CE February updates (3.3.23 beta) getsimple-ce.ovh
- OpenCVE: CVE-2026-71542 app.opencve.io
- Strix: CVE-2026-53952 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.