CVE-2026-115479 in BaserCMS
Riassunto
di VulDB • 23/10/2026
baserCMS è un framework per lo sviluppo di siti web. Nelle versioni precedenti alla 5.3.2 (a partire dalla 5.2.5) e nelle versioni precedenti alla 5.4.2 (partendo dalla 5.4.0), un visitatore non autenticato può fornire una lista di indirizzi separati da virgola nel campo email di un modulo di posta pubblico, causando l'invio di un'unica risposta automatica a più destinatari terzi. La funzione MailMessageMailer::sendFormToUser() passa il valore userMail controllato dall'utente alla funzione parseAndNormalizeMailAddresses(), che lo suddivide utilizzando explode(',') e fornisce ogni indirizzo risultante a setTo(). I nuovi moduli creati con un campo di tipo email sono interessati quando la validazione lato server VALID_EMAIL, opzionale ma separata, non è abilitata; la validazione browser type=email non impedisce richieste costruite ad hoc. Il modulo di contatto incluso nel bundle abilita VALID_EMAIL e non è interessato da questa vulnerabilità. La risposta automatica utilizza l'identità del mittente del sito e include contenuti parzialmente controllati dall'attaccante, consentendo l'abuso del sito per inviare posta indesiderata (spam). Questo problema è stato risolto nelle versioni 5.3.2 e 5.4.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.