CVE-2026-115457 in BaserCMS
요약
\~에 의해 VulDB • 2026. 10. 23.
baserCMS는 웹사이트 개발 프레임워크입니다. 버전 5.0.0 미만 5.3.2 및 5.4.0 미만 5.4.2에서 전역 숏코드(expansion) 처리가 비인증 방문자가 제공한 HTML 이스케이프된 블로그 댓글을 포함한 전체 렌더링 페이지에 걸쳐 수행됩니다. BcBaser.getGoogleMaps 숏코드를 포함하는 댓글은 apiBaseUrl을 공격자가 제어하는 스크립트 URL로 설정할 수 있으며, 이는 script src로서 방출되어 해당 댓글이 포함된 게시물을 다른 방문자나 관리자가 열 때 사이트의 원본(origin)에서 JavaScript를 실행합니다. 댓글 내의 raw HTML 이스케이프는 숏코드 처리가 HTML 렌더링 이후에 발생하므로 이 저장된 크로스사이트 스크립팅(stored cross-site scripting, XSS)을 방지하지 못합니다. 다른 등록된 숏코드도 댓글 내에서 확장됩니다. Mail.getForm은 유효한 CSRF 토큰이 포함된 작동 가능한 연락처 양식을 삽입할 수 있습니다. 이 결함으로 인해 영향을 받는 게시물을 조회하는 관리자의 인증된 브라우저 컨텍스트가 침해될 수 있습니다. 본 이슈는 버전 5.3.2 및 5.4.2에서 패치되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.