- Son 7 gün
- CWE-89
CVE-2026-114621
baserCMS yönetim paneli ve yönetici API'sinde SQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
baserCMS, bir web sitesi geliştirme çerçevesidir. 5.0.0 sürümünden 5.3.2 öncesine ve 5.4.0 sürümünden 5.4.2 öncesine kadar olan sürümlerde, Admin ve Api/Admin önekleri altındaki liste ve ayrıntı işlemleri, contain, conditions, fields, finder ve order dahil olmak üzere istek sorgu parametrelerini doğrudan ORM'ye seçenek olarak iletmektedir. Yönetim paneline giriş yapabilen bir kullanıcı, bu seçeneklerin içine SQL parçacıkları yerleştirerek uygulamanın veritabanında keyfi SQL sorguları çalıştırabilir; bu da users tablosundaki parola özetlerinin okunmasını içerir. 5.3.1 ve 5.4.1 sürümlerinde yayımlanan genel sayfa ve genel API düzeltmeleri bu yönetimsel yolları korumamıştır. USE_CORE_ADMIN_API ayarının false olarak belirlenmesi, kimliği doğrulanmış bir tarayıcı oturumu üzerinden erişimi engellemez. Bu sorun 5.3.2 ve 5.4.2 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
baserCMS is a website development framework. In versions 5.0.0 before 5.3.2 and 5.4.0 before 5.4.2, list and detail actions in the Admin and Api/Admin prefixes pass request query parameters, including contain, conditions, fields, finder, and order, directly to the ORM as options. A user able to log into the admin panel can embed SQL fragments in those options to execute arbitrary SQL against the application's database, including reading password hashes from the users table. Public-page and public-API fixes released in 5.3.1 and 5.4.1 did not protect these administrative paths. Setting USE_CORE_ADMIN_API to false does not prevent access through an authenticated browser session. This issue has been patched in versions 5.3.2 and 5.4.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| baserproject basercms | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.