- Son 7 gün
- CWE-79
CVE-2026-115457
baserCMS'te yorumlar üzerinden kalıcı siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
baserCMS, bir web sitesi geliştirme çerçevesidir. 5.0.0 sürümünden 5.3.2 öncesi ve 5.4.0 sürümünden 5.4.2 öncesi sürümlerde, genel kısa kod (shortcode) genişletmesi, kimliği doğrulanmamış ziyaretçilerin gönderdiği, HTML olarak kaçışlanmış blog yorumları dahil olmak üzere tamamlanmış sayfanın tamamında çalışmaktadır. BcBaser.getGoogleMaps kısa kodunu içeren bir yorum, apiBaseUrl değerini saldırganın kontrolündeki bir betik URL'sine ayarlayabilir; bu URL bir script src olarak üretilir ve yazıyı görüntüleyen başka bir ziyaretçi veya yönetici o makaleyi açtığında sitenin kökeni üzerinde JavaScript çalıştırır. Yorumlardaki ham HTML'nin kaçışlanması, kısa kod işlemesi HTML oluşturmadan sonra gerçekleştiği için bu kalıcı siteler arası betik çalıştırma (XSS) saldırısını engellemez. Yorumlarda diğer kayıtlı kısa kodlar da genişletilir; Mail.getForm, geçerli bir CSRF belirteci içeren çalışan bir iletişim formu yerleştirebilir. Bu sorun, etkilenen makaleyi görüntüleyen bir yöneticinin kimliği doğrulanmış tarayıcı bağlamını ele geçirebilir. Sorun 5.3.2 ve 5.4.2 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
baserCMS is a website development framework. In versions 5.0.0 before 5.3.2 and 5.4.0 before 5.4.2, global shortcode expansion runs over the complete rendered page, including HTML-escaped blog comments supplied by unauthenticated visitors. A comment containing the BcBaser.getGoogleMaps shortcode can set apiBaseUrl to an attacker-controlled script URL, which is emitted as a script src and executes JavaScript on the site's origin when another visitor or administrator opens the article displaying that comment. Escaping raw HTML in comments does not prevent this stored cross-site scripting because shortcode processing happens after HTML rendering. Other registered shortcodes also expand in comments; Mail.getForm can embed a working contact form with a valid CSRF token. The flaw can compromise the authenticated browser context of an administrator who views the affected article. This issue has been patched in versions 5.3.2 and 5.4.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| baserproject basercms | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.