CVE-2026-114624

baserCMS veb sayt hazırlama freymvorkudur. 5.0.0-dan 5.3.2-yə qədər və 5.4.0-dan 5.4.2-yə qədər olan versiyalarda, widget-area entitisi vidjetləri yalnız göndərilən dəyər massiv olduqda seriyallaşdırır ki, bu da admin JSON API vasitəsilə göndərilən sətirin dəyişdirilmədən saxlanılmasına imkan verir. Front-end renderinqi və API cavabları daxil olmaqla entiti oxumaları, saxlanılan dəyəri allowed_classes məhdudiyyəti olmadan unserialize() ilə deseriyallaşdırır və həm xammal, həm də base64 ilə kodlaşdırılmış seriyallaşdırılmış məlumatları qəbul edir. Administrator və ya zəncirlənmiş XSS kimi ayrı bir boşluq vasitəsilə vidjet yazma imkanı əldə etmiş hücumçu, daha sonra autentifikasiya olunmamış səhifə sorğuları zamanı tetiklənməyə səbəb olan obyekt qrafiki yerləşdirə bilər. Defolt asılılıqlar dəstində nümayiş etdirilən iki gadget zənciri, proc_open() funksiyasına çatmaq və komandaları veb-server istifadəçisi kimi icra etmək üçün composer/composer ProcessExecutor::startJob() ilə Process::fromShellCommandline(), yaxud logiscape/mcp-sdk-php StdioTransport::connect() ilə StdioServerParameters istifadə edir. Deseriyallaşdırma konstruktora əsaslanan readonly mühafizələrini yan keçir və saxlanılan faydalı yük (payload), verilənlər bazasının sətri düzəldilənə qədər təkrarən icra oluna bilər. Autentifikasiya olunmamış səhifə girişi, imtiyazlı faydalı yükün saxlanmasından sonrakı tetikleyicidir, faydalı yükü ilkin yerləşdirmək üçün autentifikasiyasız bir vasitə deyil. Bu problem 5.3.2 və 5.4.2 versiyalarında aradan qaldırılmışdır.