Plateforme
php
Composant
code-projects-simple-content-management-system
Corrigé dans
1.0.1
Une vulnérabilité de type Cross-Site Scripting (XSS) a été découverte dans le Simple Content Management System (CMS) versions 1.0.0 à 1.0. Cette faille permet à un attaquant d'injecter des scripts malveillants via la manipulation du paramètre 'News Title' dans le fichier /web/admin/welcome.php. L'exploitation est possible à distance et un proof-of-concept public est disponible, augmentant le risque d'attaques.
L'exploitation réussie de cette vulnérabilité XSS permet à un attaquant d'injecter du code JavaScript arbitraire dans les pages web consultées par les utilisateurs du Simple Content Management System. Cela peut conduire au vol de cookies de session, à la redirection vers des sites malveillants, ou à la modification du contenu affiché. Dans le pire des cas, un attaquant pourrait compromettre l'ensemble de l'application et accéder à des données sensibles stockées dans la base de données du CMS. La disponibilité du proof-of-concept public rend cette vulnérabilité particulièrement préoccupante, car elle facilite son exploitation par des acteurs malveillants.
Cette vulnérabilité est publique depuis le 2026-04-13 et un proof-of-concept est disponible, ce qui augmente la probabilité d'exploitation. Bien qu'il n'y ait pas d'indication d'une exploitation active à grande échelle, la facilité d'exploitation rend cette vulnérabilité une cible potentielle pour des attaques ciblées. L'absence d'une évaluation EPSS ne permet pas de déterminer précisément la probabilité d'exploitation, mais la disponibilité d'un PoC suggère une probabilité moyenne.
Administrators of Simple Content Management System instances running versions 1.0.0 through 1.0 are at direct risk. Shared hosting environments utilizing this CMS are particularly vulnerable, as a compromised account could potentially impact other websites hosted on the same server. Those who have not implemented robust input validation practices are also at increased risk.
• php / server:
grep -r "News Title" /var/www/html/web/admin/welcome.php• generic web:
curl -I http://your-website.com/web/admin/welcome.php?News+Title=<script>alert(1)</script>disclosure
Statut de l'Exploit
EPSS
0.03% (percentile 9%)
CISA SSVC
Vecteur CVSS
La mitigation immédiate consiste à appliquer la correction fournie par le développeur du Simple Content Management System. En attendant la mise à jour, il est possible de mettre en place des mesures de protection temporaires. Il est recommandé de désactiver temporairement l'accès à /web/admin/welcome.php si ce n'est pas une fonctionnalité essentielle. L'utilisation d'un Web Application Firewall (WAF) configuré pour bloquer les injections XSS peut également aider à atténuer le risque. Surveillez attentivement les logs du serveur web pour détecter des tentatives d'injection de scripts.
Mettez à jour le Simple Content Management System vers une version corrigée. Vérifiez le site web du fournisseur ou les forums de la communauté pour obtenir des informations sur les mises à jour disponibles. En tant que mesure temporaire, vous pouvez désactiver l'entrée 'Titre de l'actualité' ou appliquer une validation d'entrée stricte pour éviter l'injection de code malveillant.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-6184 is a cross-site scripting (XSS) vulnerability affecting Simple Content Management System versions 1.0.0–1.0, allowing attackers to inject malicious scripts via the News Title parameter.
You are affected if you are running Simple Content Management System version 1.0.0–1.0 and have not applied a patch or implemented mitigating controls.
Upgrade to a patched version of Simple Content Management System as soon as it becomes available. Until then, implement input validation and consider using a WAF.
While active campaigns are not confirmed, a public proof-of-concept exists, increasing the risk of exploitation.
Refer to the Simple Content Management System website or security mailing list for the official advisory regarding CVE-2026-6184.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.