Podatności baserCMS

Podczas konwersji dodatków baserCMS4 na styl baserCMS5, BcAddonMigrator dołącza plik 'config.php' z dodatku, co powoduje wykonanie kodu PHP w tym pliku. Użytkownik administracyjny może odczytać lub usunąć dowolne pliki w systemie.

baserCMS w wersjach 3.0.14 i wcześniejszych oraz 4.0.5 i wcześniejszych umożliwia atakującemu wykonanie dowolnego kodu PHP na serwerze poprzez nieokreślone wektory.

Wersje baserCMS 3.0.14 i wcześniejsze oraz 4.0.5 i wcześniejsze umożliwiają zdalnym atakującym usuwanie dowolnych plików poprzez nieokreślone wektory, gdy pole 'Plik' jest używane w formularzu mailowym.

Podatność CSRF w baserCMS w wersji 3.0.10 i wcześniejszych umożliwia zdalnym atakującym przejęcie uwierzytelnienia administratorów za pomocą nieokreślonych wektorów.

Podatność CSRF w baserCMS w wersji 3.0.10 i wcześniejszych umożliwia zdalnym atakującym przejęcie uwierzytelnienia administratorów za pomocą nieokreślonych wektorów.

Wersja 3.0.10 i wcześniejsze baserCMS zawierają podatność na atak typu cross-site request forgery (CSRF), która umożliwia zdalnym atakującym przejęcie uwierzytelnienia administratorów i wykonanie dowolnego kodu PHP za pomocą nieokreślonych wektorów.

W baserCMS w wersjach 3.0.14 i wcześniejszych oraz 4.0.5 i wcześniejszych występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.

W frameworku baserCMS funkcja PermissionGroupsService::build() odczytuje plik config/permission.php wtyczki, aby ustalić uprawnienia grup użytkowników. Gdy plik nie istnieje, zamiast tego zapisuje regułę zezwalającą na wszystko (wildcard) dla wszystkich grup niebędących administratorami. Wtyczka BcCustomContent nie zawiera takiego pliku w żadnym wydaniu, więc po jej zainstalowaniu domyślna grupa operators może przechowywać i wykonywać dowolny kod PHP w katalogu głównym dokumentów.

W baserCMS w wersjach 5.0.0 przed 5.3.2 i 5.4.0 przed 5.4.2 publiczny endpoint API dodawania wiadomości pocztowych nie wymusza ustawienia auth_captcha. Nieuwierzytelniony atakujący może zautomatyzować zgłoszenia bez rozwiązywania captchy.

W baserCMS w wersjach 5.2.5 przed 5.3.2 i 5.4.0 przed 5.4.2 nieuwierzytelniony odwiedzający może podać listę adresów rozdzieloną przecinkami w polu e-mail formularza, powodując wysłanie jednej automatycznej odpowiedzi do wielu osób trzecich.

W baserCMS globalne rozwijanie shortcode'ów odbywa się na całej wyrenderowanej stronie, w tym na komentarzach blogowych escapowanych w HTML, dostarczanych przez nieuwierzytelnionych odwiedzających. Komentarz zawierający shortcode BcBaser.getGoogleMaps może ustawić apiBaseUrl na kontrolowany przez atakującego URL skryptu, który jest emitowany jako src skryptu i wykonuje JavaScript w domenie witryny, gdy inny odwiedzający lub administrator otworzy artykuł z tym komentarzem. Escapowanie surowego HTML w komentarzach nie zapobiega temu przechowywanemu XSS, ponieważ przetwarzanie shortcode'ów następuje po renderowaniu HTML.

W baserCMS encja widget-area serializuje widgety tylko wtedy, gdy przesłana wartość jest tablicą, co pozwala na zapisanie ciągu znaków przesłanego przez administracyjne API JSON bez zmian. Odczyt encji, w tym renderowanie front-endu i odpowiedzi API, deserializuje zapisaną wartość za pomocą unserialize() bez ograniczenia allowed_classes, akceptując zarówno surowe, jak i base64-zakodowane dane serializowane. Administrator lub atakujący, który uzyska możliwość zapisu widgetów poprzez inną podatność, taką jak łańcuch XSS, może umieścić graf obiektów, który następnie uruchamia się przy nieuwierzytelnionych żądaniach stron.

W baserCMS w wersjach 5.0.0 przed 5.3.2 i 5.4.0 przed 5.4.2 uwierzytelniony użytkownik z uprawnieniem tylko do przeglądania plików motywu może wyjść poza katalog motywu przez opcjonalny plugin BcThemeFile. Może to ujawnić kod źródłowy aplikacji oraz dane dostępowe do bazy w config/install.php.

W opcjonalnej wtyczce BcThemeFile w baserCMS administracyjne API waliduje surową ścieżkę w ThemeFilesService::update() i getFullpath(), ale ThemeFileForm::_execute() następnie stosuje rawurldecode() do fullpath przed zapisem. Ponieważ normalizePath() rozwiązuje tylko literalne segmenty kropkowe, procentowo zakodowane przejście może ominąć sprawdzenia zawierania i stać się ścieżką poza katalogiem motywu w miejscu zapisu. Uwierzytelniony administrator może zapisywać pliki PHP w miejscach takich jak webroot i je wykonywać, przekraczając zamierzoną granicę edycji szablonów motywu.

W baserCMS akcje list i detail w prefiksach Admin i Api/Admin przekazują parametry zapytania (w tym contain, conditions, fields, finder i order) bezpośrednio do ORM jako opcje. Użytkownik mogący zalogować się do panelu administracyjnego może osadzić fragmenty SQL w tych opcjach, aby wykonać dowolny SQL na bazie danych aplikacji, w tym odczytać hasła z tabeli użytkowników. Poprawki dla publicznych stron i API wydane w wersjach 5.3.1 i 5.4.1 nie chroniły tych ścieżek administracyjnych.

W baserCMS istnieje podatność typu stored cross-site scripting (XSS) poprzez niestandardowe opisy treści. Wykorzystanie podatności może spowodować wykonanie dowolnego skryptu w przeglądarce użytkownika.

W baserCMS występuje podatność na cross-site scripting poprzez obejście walidacji skryptów. Jeśli zostanie wykorzystana, dowolny skrypt może zostać wykonany w przeglądarce użytkownika.

W baserCMS istnieje podatność polegająca na braku uwierzytelniania dla krytycznej funkcji. Wykorzystanie podatności może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji.

W baserCMS istnieje podatność typu stored cross-site scripting (XSS) poprzez dołączane ciągi znaków w polach formularza e-mail. Wykorzystanie podatności może spowodować wykonanie dowolnego skryptu w przeglądarce użytkownika.

baserCMS przed wersją 5.3.0 zawiera podatność na wstrzykiwanie SQL w pliku BcDatabaseService.php, która umożliwia uwierzytelnionym administratorom wstrzykiwanie kontrolowanych przez atakującego nazw tabel i wartości konfiguracyjnych bezpośrednio do instrukcji SQL w operacjach aktualizacji sekwencji, eksportu CSV i zarządzania tabelami. Atakujący mogą połączyć tę podatność z wadą wstrzykiwania kodu podczas przywracania kopii zapasowej, gdzie kod PHP poza definicjami klas w plikach schematu wykonuje się bezwarunkowo podczas ładowania, aby umieścić złośliwe nazwy tabel i wywołać błąd-based SQL injection, który umożliwia odzyskanie wersji bazy danych, zawartości schematu i dowolnych danych z backendu PostgreSQL.

BaserCMS zawiera podatność na wstrzykiwanie do plików CSV. Jeśli użytkownik pobierze i otworzy plik CSV zawierający złośliwy kod wstrzyknięty przez atakującego, kod może zostać wykonany.

Podatność w pluginie baserCMS dla BurgerEditor i BurgerEditor Limited Edition przed wersją 2.25.1 umożliwia zdalne ujawnienie listy przesłanych plików. Problem wynika z błędu w wyświetlaniu katalogów, co pozwala atakującym na uzyskanie wrażliwych informacji.