CVE-2026-115479
Təsvir
baserCMS veb sayt hazırlama freymvorkudur. 5.3.2 versiyasından əvvəlki 5.2.5 və 5.4.2 versiyasından əvvəlki 5.4.0 versiyalarında autentifikasiya olunmamış ziyarətçi, ictimai məktub formasının e-poçt sahəsinə vergüllə ayrılmış ünvan siyahısı daxil edərək tək bir avtomatik cavabın çox sayda üçüncü tərəfə göndərilməsinə səbəb ola bilər. MailMessageMailer::sendFormToUser() funksiyası ziyarətçi tərəfindən idarə olunan userMail dəyərini parseAndNormalizeMailAddresses() funksiyasına ötürür, həmin funksiya isə onu explode(',') ilə bölür və nəticədə alınan hər bir ünvanı setTo() funksiyasına təqdim edir. E-poçt tipli sahəsi olan yeni yaradılmış formalar, ayrıca opsional olan server tərəfli VALID_EMAIL validasiyası aktiv edilmədikdə bu problemdən təsirlənir; brauzerin type=email validasiyası xüsusi hazırlanmış sorğuların qarşısını almır. Paketdə gələn əlaqə forması VALID_EMAIL funksiyasını aktivləşdirir və ondan təsirlənmir. Avtomatik cavab saytın göndərən kimliyindən istifadə edir və qismən hücumçu tərəfindən idarə olunan məzmunu ehtiva edir ki, bu da arzuolunmaz məktubların çatdırılması üçün saytın sui-istifadəsinə imkan verir. Bu problem 5.3.2 və 5.4.2 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| baserproject basercms | >= 5.2.5, < 5.3.2, >= 5.4.0, < 5.4.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.