FICHE CVE

CVE-2026-53952

Publiée le 2026-09-11 · Dernière modification le 2026-09-11

🇫🇷 EN BREF

GetSimple CMS et GetSimple CMS CE sont affectés par un bug qui ne supprime pas le script d'installation après la configuration du site. Un attaquant non authentifié disposant d'un accès réseau peut utiliser ce script résiduel pour créer son propre compte administrateur et prendre le contrôle total du serveur. Cette exploitation est facile à réaliser car elle ne nécessite aucun identifiant préalable ni interaction de l'utilisateur.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

Publiée2026-09-11

Dernière modification2026-09-11

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

GetSimple CMS is a content management system (CMS), and GetSimple CMS CE is the community edition of that CMS. A logic flaw in GetSimple CMS (v3.4.0a and below) and GetSimpleCMS-CE (v3.3.22 and below) allows unauthenticated attackers to create a new administrator account. The application features an automated security control designed to delete the sensitive `admin/setup.php` file post-installation. However, this control is neutralized by a self-exclusion bug within the deletion logic, leaving the setup script accessible for unauthorized account creation even after a legitimate installation is completed. As of time of publication, no known patched versions are available.