CVE-2014-8722

Słaba inicjalizacja soli kryptograficznej w pliku admin/inc/template_functions.php w GetSimple CMS 3.3.13 umożliwia atakującemu w sieci eskalację uprawnień do dowolnego użytkownika lub przeprowadzenie ataków CSRF poprzez obliczenie ciasteczka sesyjnego lub nonce CSRF.

GetSimple CMS CE w wersji 3.3.22 pozwala na dostęp do punktu końcowego resetowania hasła bez uwierzytelniania. Po zgłoszeniu żądania resetu dla istniejącego użytkownika aplikacja generuje nowe hasło tymczasowe i natychmiast zapisuje jego hash jako nowe hasło użytkownika. Hasło tymczasowe jest generowane za pomocą PHP rand() z ziarnem microtime(), a ponieważ ziarno jest oparte na czasie i ma ograniczoną przestrzeń wyszukiwania, atakujący może generować kandydatów na hasło resetu i testować ich online, ponieważ logowanie administratora nie wymusza ograniczania szybkości ani blokady konta.

GetSimple CMS (wersje 3.4.0a i starsze) oraz GetSimple CMS CE (wersje 3.3.22 i starsze) zawierają błąd logiczny pozwalający nieuwierzytelnionemu atakującemu utworzyć nowe konto administratora. Mechanizm automatycznego usuwania pliku admin/setup.php po instalacji jest neutralizowany przez błąd samowykluczenia, przez co skrypt instalacyjny pozostaje dostępny. W momencie publikacji nie są znane żadne wersje z poprawką.

W GetSimple CMS i GetSimple CMS CE w wersjach 3.3.22 i wcześniejszych, uwierzytelniony użytkownik z uprawnieniami do edycji stron może zapisać dowolną ścieżkę systemu plików w atrybucie szablonu strony. Na publicznym froncie wartość ta jest przekazywana bez sanityzacji do funkcji PHP include() podczas renderowania strony, co umożliwia Local File Inclusion z przechodzeniem po katalogach i wykonaniem dowolnych plików lokalnych (jeśli zawierają PHP). Brak publicznie dostępnych łat.

W GetSimple CMS i GetSimple CMS CE w wersjach 3.3.22 i wcześniejszych istnieje podatność na przechowywany Cross-Site Scripting (XSS) w podglądzie kopii zapasowych stron (admin/backup-edit.php). Pola stron są poprawnie kodowane HTML przy zapisie, ale podgląd kopii zapasowej dekoduje je ponownie (htmldecode() / strip_decode()) i wyświetla wynik bez ponownego escapowania. Użytkownik z uprawnieniami do edycji strony może zapisać JavaScript w polach Keywords, Description, Menu text lub Content; wykonuje się on w przeglądarce administratora przeglądającego kopię zapasową, w kontekście panelu administracyjnego. Brak publicznie dostępnych łat.