CVE-2026-114624

baserCMS bir web sitesi geliştirme çerçevesidir. 5.3.2 öncesindeki 5.0.0 sürümlerinde ve 5.4.2 öncesindeki 5.4.0 sürümlerinde, widget-area varlığı widget'ları yalnızca gönderilen değer bir dizi olduğunda serileştirmekte, bu da yönetici JSON API üzerinden gönderilen bir dizginin değiştirilmeden saklanmasına izin vermektedir. Ön uç oluşturma ve API yanıtları dahil olmak üzere varlık okumaları, saklanan değeri herhangi bir allowed_classes kısıtlaması olmaksızın unserialize() ile tersine serileştirmekte; hem ham hem de base64 ile kodlanmış serileştirilmiş verileri kabul etmektedir. Bir yönetici veya zincirleme XSS gibi ayrı bir güvenlik açığı aracılığıyla widget-yazma yetkisi elde eden bir saldırgan, daha sonra kimlik doğrulanmamış sayfa isteklerinde tetiklenen bir nesne grafiği yerleştirebilir. Varsayılan bağımlılık setindeki kanıtlanmış iki gadget zinciri, proc_open() fonksiyonuna ulaşmak ve komutları web sunucusu kullanıcısı olarak çalıştırmak için composer/composer ProcessExecutor::startJob() ile Process::fromShellCommandline() veya logiscape/mcp-sdk-php StdioTransport::connect() ile StdioServerParameters kullanmaktadır. Tersine serileştirme, kurucu tabanlı readonly korumalarını atlar ve saklanan yük, veritabanı satırı düzeltilene kadar tekrar tekrar çalıştırılabilir. Kimlik doğrulanmamış sayfa erişimi, ayrıcalıklı yük depolamasından sonra gelen bir tetikleyicidir; yükün başlangıçta yerleştirilmesi için kullanılan kimlik doğrulanmamış bir yöntem değildir. Bu sorun 5.3.2 ve 5.4.2 sürümlerinde yamalanmıştır.