CVE-2026-55695: FearlessCMS: RCE por URL de repositório de atualização não validada no atualizador do sistema
As versões 0.1.2b e anteriores do FearlessCMS permitem que um administrador autenticado aponte o atualizador do sistema para um repositório Git arbitrário, cujo conteúdo é instalado sem verificação. Segundo a descrição, isso pode levar à execução de PHP arbitrário e à persistência como backdoor. A correção está disponível na versão 0.1.3b.
Visão geral
O FearlessCMS é um sistema de gerenciamento de conteúdo baseado em arquivos planos. O aviso GHSA-56wm-3q3v-m93m descreve uma falha no atualizador integrado que permite a um administrador autenticado direcionar o processo de atualização para um repositório Git arbitrário. O atualizador substitui diretórios ativos da aplicação sem verificar o que foi baixado.
Impacto
O registro classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.1 e CWE-94 (Injeção de Código). Segundo a descrição, conteúdo de atualização fornecido por um atacante pode executar PHP arbitrário com os privilégios do processo do servidor web e persistir como backdoor. O vetor indica impacto alto na confidencialidade, integridade e disponibilidade, além de escopo alterado.
Produtos e versões afetadas
- FearlessCMS (listado no registro como Fearlessgeekmedia Fearlesscms), versões anteriores à 0.1.3b.
- Segundo a descrição, as versões 0.1.2b e anteriores são afetadas.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O dado SSVC do registro traz o valor de exploração 'poc', que indica a possível existência de prova de conceito; isso não é evidência de exploração no mundo real. Não há pontuação EPSS disponível.
Remediação e mitigação
- Atualize o FearlessCMS para a versão 0.1.3b ou superior, conforme a descrição.
- Até a atualização, restrinja contas de administrador a usuários confiáveis e revise quem as possui atualmente.
- Confirme que o atualizador não está configurado para buscar conteúdo de fontes não confiáveis e desative-o onde não for necessário.
- Revise a versão 0.1.3 e o commit referenciado para confirmar as mudanças aplicadas.
Orientação para detecção
- Revise os logs de atividade administrativa em busca de alterações nas configurações do atualizador ou execuções de atualização inesperadas.
- Compare os arquivos de plugins, admin e includes com uma cópia confiável e investigue arquivos PHP inesperados ou modificados.
- Monitore o servidor web em busca de requisições a arquivos PHP que não fazem parte da instalação esperada.
Limitações das informações disponíveis
- O registro não possui o campo de correções preenchido. A versão corrigida 0.1.3b vem da descrição, enquanto a referência de release usa a tag 0.1.3. A correspondência exata entre tag e versão corrigida deve ser confirmada com o fornecedor.
- Não há pontuação EPSS disponível.
- O conteúdo do update.sh e do commit referenciado não estava disponível além dos links, portanto os caminhos exatos de código não puderam ser verificados aqui.
Perguntas frequentes
Quais versões do FearlessCMS são afetadas pela CVE-2026-55695?
Segundo o registro, versões anteriores à 0.1.3b são afetadas, e a descrição cita a 0.1.2b e anteriores. A correção está na versão 0.1.3b.
Esta vulnerabilidade exige acesso de administrador?
Sim. A descrição afirma que um administrador autenticado pode definir a URL do repositório de atualização, e o vetor CVSS indica privilégios altos necessários.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.