CVE-2026-114624
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W baserCMS encja widget-area serializuje widgety tylko wtedy, gdy przesłana wartość jest tablicą, co pozwala na zapisanie ciągu znaków przesłanego przez administracyjne API JSON bez zmian. Odczyt encji, w tym renderowanie front-endu i odpowiedzi API, deserializuje zapisaną wartość za pomocą unserialize() bez ograniczenia allowed_classes, akceptując zarówno surowe, jak i base64-zakodowane dane serializowane. Administrator lub atakujący, który uzyska możliwość zapisu widgetów poprzez inną podatność, taką jak łańcuch XSS, może umieścić graf obiektów, który następnie uruchamia się przy nieuwierzytelnionych żądaniach stron.
Ocena ryzyka
Możliwe jest wykonanie dowolnych poleceń jako użytkownik serwera WWW poprzez łańcuchy gadżetów deserializacji, co prowadzi do pełnego przejęcia serwera. Złośliwy ładunek może być wykonany wielokrotnie, dopóki wiersz bazy danych nie zostanie naprawiony.
Rekomendacja
Zaktualizuj baserCMS do wersji 5.3.2 lub 5.4.2, które naprawiają podatność. Ogranicz możliwość zapisu widgetów do zaufanych administratorów i regularnie przeglądaj zawartość bazy danych pod kątem podejrzanych serializowanych danych.
Inne podatności w baserCMS
Zobacz wszystkie- CVE-2026-97150Wysokie
Podczas konwersji dodatków baserCMS4 na styl baserCMS5, BcAddonMigrator dołącza plik 'config.php' z dodatku, co powoduje wykonanie kodu PHP w tym pliku. Użytkownik administracyjny może odczytać lub usunąć dowolne pliki w systemie.
- CVE-2017-10844Wysokie
baserCMS w wersjach 3.0.14 i wcześniejszych oraz 4.0.5 i wcześniejszych umożliwia atakującemu wykonanie dowolnego kodu PHP na serwerze poprzez nieokreślone wektory.
- CVE-2017-10843Wysokie
Wersje baserCMS 3.0.14 i wcześniejsze oraz 4.0.5 i wcześniejsze umożliwiają zdalnym atakującym usuwanie dowolnych plików poprzez nieokreślone wektory, gdy pole 'Plik' jest używane w formularzu mailowym.
- CVE-2016-4882Wysokie
Podatność CSRF w baserCMS w wersji 3.0.10 i wcześniejszych umożliwia zdalnym atakującym przejęcie uwierzytelnienia administratorów za pomocą nieokreślonych wektorów.
- CVE-2016-4878Wysokie
Podatność CSRF w baserCMS w wersji 3.0.10 i wcześniejszych umożliwia zdalnym atakującym przejęcie uwierzytelnienia administratorów za pomocą nieokreślonych wektorów.
- CVE-2016-4876Wysokie
Wersja 3.0.10 i wcześniejsze baserCMS zawierają podatność na atak typu cross-site request forgery (CSRF), która umożliwia zdalnym atakującym przejęcie uwierzytelnienia administratorów i wykonanie dowolnego kodu PHP za pomocą nieokreślonych wektorów.
- CVE-2017-10842Krytyczne
W baserCMS w wersjach 3.0.14 i wcześniejszych oraz 4.0.5 i wcześniejszych występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
- CVE-2026-115481Wysokie
W frameworku baserCMS funkcja PermissionGroupsService::build() odczytuje plik config/permission.php wtyczki, aby ustalić uprawnienia grup użytkowników. Gdy plik nie istnieje, zamiast tego zapisuje regułę zezwalającą na wszystko (wildcard) dla wszystkich grup niebędących administratorami. Wtyczka BcCustomContent nie zawiera takiego pliku w żadnym wydaniu, więc po jej zainstalowaniu domyślna grupa operators może przechowywać i wykonywać dowolny kod PHP w katalogu głównym dokumentów.
- CVE-2026-115480Średnie
W baserCMS w wersjach 5.0.0 przed 5.3.2 i 5.4.0 przed 5.4.2 publiczny endpoint API dodawania wiadomości pocztowych nie wymusza ustawienia auth_captcha. Nieuwierzytelniony atakujący może zautomatyzować zgłoszenia bez rozwiązywania captchy.
- CVE-2026-115479Średnie
W baserCMS w wersjach 5.2.5 przed 5.3.2 i 5.4.0 przed 5.4.2 nieuwierzytelniony odwiedzający może podać listę adresów rozdzieloną przecinkami w polu e-mail formularza, powodując wysłanie jednej automatycznej odpowiedzi do wielu osób trzecich.
Oryginalny opis (angielski, źródło NVD)
baserCMS is a website development framework. In versions 5.0.0 before 5.3.2 and 5.4.0 before 5.4.2, the widget-area entity serializes widgets only when the submitted value is an array, allowing a string submitted through the admin JSON API to be stored unchanged. Entity reads, including front-end rendering and API responses, deserialize the stored value with unserialize() without an allowed_classes restriction, accepting both raw and base64-encoded serialized data. An administrator, or an attacker who obtains widget-write capability through a separate vulnerability such as chained XSS, can plant an object graph that subsequently triggers on unauthenticated page requests. Two demonstrated gadget chains in the default dependency set use composer/composer ProcessExecutor::startJob() with Process::fromShellCommandline(), or logiscape/mcp-sdk-php StdioTransport::connect() with StdioServerParameters, to reach proc_open() and execute commands as the web-server user. Deserialization bypasses constructor-based readonly safeguards, and the stored payload can execute repeatedly until the database row is repaired. Unauthenticated page access is a trigger after privileged payload storage, not an unauthenticated means of initially planting the payload. This issue has been patched in versions 5.3.2 and 5.4.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS