CVE-2026-115480
Təsvir
baserCMS veb sayt hazırlama freymvorkudur. 5.0.0-dan 5.3.2-yə qədər və 5.4.0-dan 5.4.2-yə qədər olan versiyalarda, ictimai POST /baser/api/bc-mail/mail_messages/add/{mailContentId}.json son nöqtəsi (endpoint), formanın auth_captcha tənzimləməsini tətbiq etmədən müraciətləri qəbul edir. BcMail\Controller\Api\MailMessagesController::add() və MailMessagesService::create() funksiyaları, veb interfeysdəki MailController::submit() tərəfindən həyata keçirilən captcha_id və auth_captcha üçün BcCaptchaService::check() yoxlamasını ötürür. Beləliklə, API-ya daxil ola bilən autentifikasiya olunmamış hücumçu, aktiv edilmiş şəkil tapşırığını (image challenge) həll etmədən müraciətləri avtomatlaşdıra bilər. API FormProtection funksiyasını deaktiv edir və heç bir tezlik limiti (rate limit) yoxdur; bu, administrator gələnlər qutusunda spam yarada bilər, e-poçt sahəsi mövcud olduqda üçüncü tərəflərə hücumçunun təsir etdiyi avtomatik cavablar göndərə bilər və save_info aktiv olduqda mail_messages verilənlər bazasında qeydlərin toplanmasına səbəb ola bilər. API artıq CVE-2026-30878 üçün əlavə edilmiş isAccepting() yoxlamasını tətbiq edir; çatışmayan CAPTCHA yoxlaması ayrıca idarəetmə uğursuzluğudur. Bu problem 5.3.2 və 5.4.2 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| baserproject basercms | >= 5.0.0, < 5.3.2, >= 5.4.0, < 5.4.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.