CVE-2026-114622
Beschrijving NL
baserCMS is een framework voor websiteontwikkeling. In versies 5.2.3 vóór 5.3.2 en 5.4.0 vóór 5.4.2 valideert de Admin API van de optionele BcThemeFile-plugin een onbewerkt pad in ThemeFilesService::update() en getFullpath(), maar ThemeFileForm::_execute() past vervolgens rawurldecode() toe op het volledige pad voordat het wordt weggeschreven. Omdat normalizePath() alleen letterlijke puntsegmenten oplost, kan procentgecodeerde traversal de containmentcontroles doorstaan en een pad worden buiten de themamap bij de schrijfput. Een geverifieerde beheerder kan PHP-bestanden naar beschrijfbare locaties zoals webroot schrijven en deze uitvoeren, waarbij de beoogde grens voor het bewerken van themasjablonen wordt overschreden. De broncode identificeert ook dezelfde volgorde van controleren vóór decoderen in ThemeFilesService::copy(), hoewel dat pad niet dynamisch werd geverifieerd. Misbruik vereist de niet-standaard plugin, een beheerderssessie en een Origin-header met dezelfde oorsprong; USE_CORE_ADMIN_API=false blokkeert geen sessie-geauthenticeerde verzoeken. Het beheerderswebformulier wordt niet beïnvloed door deze manipulatie van het gecodeerde pad, omdat FormProtection het volledige pad beschermt. Dit is een derde omzeiling van de beveiligingen die verband houden met CVE-2026-30940, waarbij gebruik wordt gemaakt van gecodeerde traversal die na validatie wordt gedecodeerd. Dit probleem is verholpen in versies 5.3.2 en 5.4.2.
Origineel (Engels) tonen
baserCMS is a website development framework. In versions 5.2.3 before 5.3.2 and 5.4.0 before 5.4.2, the optional BcThemeFile plugin's Admin API validates a raw path in ThemeFilesService::update() and getFullpath(), but ThemeFileForm::_execute() subsequently applies rawurldecode() to fullpath before writing. Because normalizePath() resolves only literal dot segments, percent-encoded traversal can pass the containment checks and become a path outside the theme directory at the write sink. An authenticated administrator can write PHP files into writable locations such as webroot and execute them, exceeding the intended theme-template editing boundary. The source also identifies the same check-before-decode ordering in ThemeFilesService::copy(), although that path was not dynamically verified. Exploitation requires the non-default plugin, an administrator session, and a same-origin Origin header; USE_CORE_ADMIN_API=false does not block session-authenticated requests. The Admin web form is not affected by this encoded-path tampering because FormProtection protects fullpath. This is a third bypass of the protections associated with CVE-2026-30940, using encoded traversal decoded after validation. This issue has been patched in versions 5.3.2 and 5.4.2.