CMSimple 5.4 には、認証済みのローカルファイルインクルージョンの脆弱性が存在し、リモートの攻撃者が PHP セッションファイルを操作して任意のコードを実行することが可能です。攻撃者は、関数ファイルのパスを変更し、セッションファイルアップロード機構を通じて悪意のある PHP コードをアップロードすることで、この脆弱性を悪用することができます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。