CVE-2026-53953
Publiée le 2026-10-01 · Dernière modification le 2026-10-05
GetSimple CMS CE (version 3.3.22) est affecté par une faille dans son processus de réinitialisation de mot de passe qui permet à un attaquant distant de prendre le contrôle de comptes administrateurs. Comme le système utilise une méthode prévisible pour générer des mots de passe temporaires et ne dispose pas de limitation du nombre de tentatives de connexion, un attaquant peut deviner le nouveau mot de passe via des tentatives automatisées. Cette opération peut être effectuée via le réseau sans aucune authentification préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
GetSimple CMS is a content management system (CMS), and GetSimple CMS CE is the community edition of that CMS. In version 3.3.22, the password reset endpoint can be accessed without authentication. When a reset request is submitted for an existing user, the application generates a new temporary password and immediately stores its hash as the user's new password. The temporary password is generated using PHP rand() seeded with microtime(). Because this seed is time-based and has a limited effective search space, an attacker can generate possible reset password candidates. Since the admin login endpoint does not enforce rate limiting or account lockout, these candidates can be tested online until the correct password is found. Successful exploitation may lead to administrator account takeover. At time of publication, there are no publicly available patches.