CVE-2026-115479
Beschrijving NL
baserCMS is een framework voor websiteontwikkeling. In versies 5.2.5 vóór 5.3.2 en 5.4.0 vóór 5.4.2 kan een niet-geauthenticeerde bezoeker een door komma's gescheiden adressenlijst invoeren in het e-mailveld van een openbaar e-mailformulier, waardoor één automatisch antwoord naar meerdere derden wordt verzonden. MailMessageMailer::sendFormToUser() geeft de door de bezoeker ingevoerde userMail-waarde door aan parseAndNormalizeMailAddresses(), die deze splitst met explode(',') en elk resulterend adres doorgeeft aan setTo(). Nieuw aangemaakte formulieren met een e-mailveld worden beïnvloed wanneer de aparte, optionele servervalidatie VALID_EMAIL niet is ingeschakeld; validatie met browsertype=email voorkomt geen speciaal geconstrueerde verzoeken. Het meegeleverde contactformulier is wel voorzien van VALID_EMAIL en wordt niet beïnvloed. Het automatische antwoord maakt gebruik van de afzenderidentiteit van de site en bevat gedeeltelijk door aanvallers beheerde inhoud, waardoor misbruik van de site mogelijk is om ongevraagde e-mails te versturen. Dit probleem is verholpen in versie 5.3.2 en 5.4.2.
Origineel (Engels) tonen
baserCMS is a website development framework. In versions 5.2.5 before 5.3.2 and 5.4.0 before 5.4.2, an unauthenticated visitor can supply a comma-separated address list in a public mail form's email field and cause a single auto-reply to be addressed to multiple third parties. MailMessageMailer::sendFormToUser() passes the visitor-controlled userMail value to parseAndNormalizeMailAddresses(), which splits it with explode(',') and supplies every resulting address to setTo(). Newly created forms with an email-type field are affected when the separate, optional VALID_EMAIL server-side validation is not enabled; browser type=email validation does not prevent crafted requests. The bundled contact form enables VALID_EMAIL and is not affected. The auto-reply uses the site's sender identity and includes partially attacker-controlled content, allowing abuse of the site to deliver unsolicited mail. This issue has been patched in versions 5.3.2 and 5.4.2.