CVE-2026-39387

BoidCMS, veritabanı olarak JSON kullanan, basit web siteleri ve bloglar oluşturmak için tasarlanmış açık kaynaklı, PHP tabanlı bir flat-file CMS'dir. 2.1.3 öncesindeki sürümler, tpl parametresi üzerinden Uzaktan Kod Çalıştırmaya (RCE) yol açabilen kritik bir Yerel Dosya Dahil Etme (LFI) saldırısına karşı savunmasızdır. Uygulama, sayfa oluşturma ve güncelleme işlemleri sırasında tpl (şablon) parametresini temizlememektedir. Bu parametre, yol doğrulaması yapılmadan doğrudan bir require_once() ifadesine aktarılmaktadır. Kimliği doğrulanmış bir yönetici, tpl değerine dizin gezgin sekansları (../) ekleyerek hedeflenen tema dizininin dışına çıkabilir ve rastgele dosyaları —özellikle sunucunun media/ dizinindeki dosyaları— dahil ederek bu durumu istismar edebilir. Dosya yükleme işleviyle birleştirildiğinde, bu durum tam bir RCE zincirine dönüşür: bir saldırgan önce gömülü PHP kodu içeren bir dosya yükleyebilir (örneğin görüntü verisi gibi gizlenmiş), ardından yol gezgin zafiyetini kullanarak bu dosyayı require_once() aracılığıyla dahil edebilir ve gömülü kodu web sunucu ayrıcalıklarıyla çalıştırabilir. Bu sorun 2.1.3 sürümünde düzeltilmiştir.