- Son 7 gün
- CWE-20
CVE-2026-115479
baserCMS'te Mail-form otomatik yanıtları birden fazla ziyaretçi kontrollü alıcıya gönderilebiliyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
baserCMS, bir web sitesi geliştirme çerçevesidir. 5.2.5 sürümünden 5.3.2 öncesine ve 5.4.0 sürümünden 5.4.2 öncesine ait sürümlerde, kimlik doğrulaması yapılmamış bir ziyaretçi, herkese açık bir mail formunun e-posta alanına virgülle ayrılmış bir adres listesi girebilir ve tek bir otomatik yanıtın birden fazla üçüncü tarafa gönderilmesine neden olabilir. MailMessageMailer::sendFormToUser fonksiyonu, ziyaretçi kontrollü userMail değerini parseAndNormalizeMailAddresses fonksiyonuna iletir; bu fonksiyon değeri explode(',') ile böler ve ortaya çıkan her adresi setTo fonksiyonuna verir. Ayrı ve isteğe bağlı olan VALID_EMAIL sunucu tarafı doğrulaması etkinleştirilmediğinde, e-posta türünde alan içeren yeni oluşturulan formlar etkilenir; tarayıcının type=email doğrulaması, özel hazırlanmış istekleri engellemez. Birlikte gelen iletişim formu VALID_EMAIL özelliğini etkinleştirir ve etkilenmez. Otomatik yanıt, sitenin gönderen kimliğini kullanır ve kısmen saldırgan kontrolündeki içerik barındırır; bu da siteye kötüye kullanılarak istenmeyen postaların gönderilmesine olanak tanır. Bu sorun 5.3.2 ve 5.4.2 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
baserCMS is a website development framework. In versions 5.2.5 before 5.3.2 and 5.4.0 before 5.4.2, an unauthenticated visitor can supply a comma-separated address list in a public mail form's email field and cause a single auto-reply to be addressed to multiple third parties. MailMessageMailer::sendFormToUser() passes the visitor-controlled userMail value to parseAndNormalizeMailAddresses(), which splits it with explode(',') and supplies every resulting address to setTo(). Newly created forms with an email-type field are affected when the separate, optional VALID_EMAIL server-side validation is not enabled; browser type=email validation does not prevent crafted requests. The bundled contact form enables VALID_EMAIL and is not affected. The auto-reply uses the site's sender identity and includes partially attacker-controlled content, allowing abuse of the site to deliver unsolicited mail. This issue has been patched in versions 5.3.2 and 5.4.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| baserproject basercms | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.