CVE-2026-115457 in BaserCMS
Zusammenfassung
von VulDB • 23.10.2026
baserCMS ist ein Framework zur Website-Entwicklung. In den Versionen vor 5.0.0 bis 5.3.2 sowie 5.4.0 vor 5.4.2 wird die globale Shortcode-Erweiterung über die gesamte gerenderte Seite ausgeführt, einschließlich HTML-escapeter Blog-Kommentare, die von nicht authentifizierten Besuchern bereitgestellt werden. Ein Kommentar, der den BcBaser.getGoogleMaps-Shortcode enthält, kann apiBaseUrl auf eine vom Angreifer kontrollierte Skript-URL festlegen, die als script src ausgegeben wird und JavaScript im Ursprung der Website ausführt, wenn ein anderer Besucher oder Administrator den Artikel mit diesem Kommentar öffnet. Das Escapen von rohem HTML in Kommentaren verhindert diese gespeicherte Cross-Site-Scripting (XSS)-Schwachstelle nicht, da die Shortcode-Bearbeitung nach dem HTML-Rendern stattfindet. Andere registrierte Shortcodes werden ebenfalls in Kommentaren erweitert; Mail.getForm kann ein funktionierendes Kontaktformular mit einem gültigen CSRF-Token einbetten. Der Fehler kann den authentifizierten Browserkontext eines Administrators kompromittieren, der den betroffenen Artikel ansieht. Dieses Problem wurde in den Versionen 5.3.2 und 5.4.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.