漏洞概述
GetSimple CMS 的 Custom JS 0.1 插件存在跨站请求伪造（CSRF）漏洞，允许未经身份验证的攻击者向管理员浏览器注入任意客户端代码。当已认证的管理员访问攻击者构造的恶意网页时，将触发跨站脚本（XSS）载荷，并进一步在托管服务器上执行远程代码。
漏洞详情
- CVE 编号：CVE-2021-47860
- 漏洞类型：跨站请求伪造（CSRF）导致 XSS 并可能引发远程代码执行（RCE）
- CVSS 评分：CVSS v4.0 基础评分为 8.5（HIGH）；CVSS v3.1 基础评分为 5.3（MEDIUM）
- 影响版本：GetSimple CMS Custom JS 插件 0.1 版本
影响范围
该漏洞影响使用 GetSimple CMS 并安装了 Custom JS 0.1 插件的网站。只要管理员账户处于登录状态并访问了攻击者控制的页面，就可能被利用。
风险分析
攻击者可构造恶意网站，诱导已认证的管理员访问，从而绕过 CSRF 防护机制，在目标站点上下文中执行任意 JavaScript 代码。由于该插件允许自定义 JavaScript，攻击者可借此上传或注入恶意脚本，最终实现远程代码执行（RCE），完全控制 Web 服务器。
修复建议
- 建议用户立即停止使用 Custom JS 0.1 插件，或升级至官方发布的安全版本（如有）。
- 如无法立即卸载插件，应限制对管理后台的访问权限，并确保管理员不随意访问不可信网站。
