CVE-2026-115479
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W baserCMS w wersjach 5.2.5 przed 5.3.2 i 5.4.0 przed 5.4.2 nieuwierzytelniony odwiedzający może podać listę adresów rozdzieloną przecinkami w polu e-mail formularza, powodując wysłanie jednej automatycznej odpowiedzi do wielu osób trzecich.
Ocena ryzyka
Atakujący może wykorzystać witrynę do wysyłania niechcianej poczty z tożsamością nadawcy serwisu, co szkodzi reputacji i może prowadzić do blacklistingu.
Rekomendacja
Zaktualizuj baserCMS do wersji 5.3.2 lub 5.4.2 (lub nowszej) i włącz walidację VALID_EMAIL w formularzach.
Inne podatności w baserCMS
Zobacz wszystkie- CVE-2026-97150Wysokie
Podczas konwersji dodatków baserCMS4 na styl baserCMS5, BcAddonMigrator dołącza plik 'config.php' z dodatku, co powoduje wykonanie kodu PHP w tym pliku. Użytkownik administracyjny może odczytać lub usunąć dowolne pliki w systemie.
- CVE-2017-10844Wysokie
baserCMS w wersjach 3.0.14 i wcześniejszych oraz 4.0.5 i wcześniejszych umożliwia atakującemu wykonanie dowolnego kodu PHP na serwerze poprzez nieokreślone wektory.
- CVE-2017-10843Wysokie
Wersje baserCMS 3.0.14 i wcześniejsze oraz 4.0.5 i wcześniejsze umożliwiają zdalnym atakującym usuwanie dowolnych plików poprzez nieokreślone wektory, gdy pole 'Plik' jest używane w formularzu mailowym.
- CVE-2016-4882Wysokie
Podatność CSRF w baserCMS w wersji 3.0.10 i wcześniejszych umożliwia zdalnym atakującym przejęcie uwierzytelnienia administratorów za pomocą nieokreślonych wektorów.
- CVE-2016-4878Wysokie
Podatność CSRF w baserCMS w wersji 3.0.10 i wcześniejszych umożliwia zdalnym atakującym przejęcie uwierzytelnienia administratorów za pomocą nieokreślonych wektorów.
- CVE-2016-4876Wysokie
Wersja 3.0.10 i wcześniejsze baserCMS zawierają podatność na atak typu cross-site request forgery (CSRF), która umożliwia zdalnym atakującym przejęcie uwierzytelnienia administratorów i wykonanie dowolnego kodu PHP za pomocą nieokreślonych wektorów.
- CVE-2017-10842Krytyczne
W baserCMS w wersjach 3.0.14 i wcześniejszych oraz 4.0.5 i wcześniejszych występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
- CVE-2026-115481Wysokie
W frameworku baserCMS funkcja PermissionGroupsService::build() odczytuje plik config/permission.php wtyczki, aby ustalić uprawnienia grup użytkowników. Gdy plik nie istnieje, zamiast tego zapisuje regułę zezwalającą na wszystko (wildcard) dla wszystkich grup niebędących administratorami. Wtyczka BcCustomContent nie zawiera takiego pliku w żadnym wydaniu, więc po jej zainstalowaniu domyślna grupa operators może przechowywać i wykonywać dowolny kod PHP w katalogu głównym dokumentów.
- CVE-2026-115480Średnie
W baserCMS w wersjach 5.0.0 przed 5.3.2 i 5.4.0 przed 5.4.2 publiczny endpoint API dodawania wiadomości pocztowych nie wymusza ustawienia auth_captcha. Nieuwierzytelniony atakujący może zautomatyzować zgłoszenia bez rozwiązywania captchy.
- CVE-2026-115457Wysokie
W baserCMS globalne rozwijanie shortcode'ów odbywa się na całej wyrenderowanej stronie, w tym na komentarzach blogowych escapowanych w HTML, dostarczanych przez nieuwierzytelnionych odwiedzających. Komentarz zawierający shortcode BcBaser.getGoogleMaps może ustawić apiBaseUrl na kontrolowany przez atakującego URL skryptu, który jest emitowany jako src skryptu i wykonuje JavaScript w domenie witryny, gdy inny odwiedzający lub administrator otworzy artykuł z tym komentarzem. Escapowanie surowego HTML w komentarzach nie zapobiega temu przechowywanemu XSS, ponieważ przetwarzanie shortcode'ów następuje po renderowaniu HTML.
Oryginalny opis (angielski, źródło NVD)
baserCMS is a website development framework. In versions 5.2.5 before 5.3.2 and 5.4.0 before 5.4.2, an unauthenticated visitor can supply a comma-separated address list in a public mail form's email field and cause a single auto-reply to be addressed to multiple third parties. MailMessageMailer::sendFormToUser() passes the visitor-controlled userMail value to parseAndNormalizeMailAddresses(), which splits it with explode(',') and supplies every resulting address to setTo(). Newly created forms with an email-type field are affected when the separate, optional VALID_EMAIL server-side validation is not enabled; browser type=email validation does not prevent crafted requests. The bundled contact form enables VALID_EMAIL and is not affected. The auto-reply uses the site's sender identity and includes partially attacker-controlled content, allowing abuse of the site to deliver unsolicited mail. This issue has been patched in versions 5.3.2 and 5.4.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS