CVE-2026-115480
Beschrijving NL
baserCMS is een framework voor websiteontwikkeling. In versies 5.0.0 vóór 5.3.2 en 5.4.0 vóór 5.4.2 accepteert het openbare POST-eindpunt /baser/api/bc-mail/mail_messages/add/{mailContentId}.json inzendingen zonder de auth_captcha-instelling van het formulier af te dwingen. BcMailControllerApiMailMessagesController::add() en MailMessagesService::create() slaan de BcCaptchaService::check()-verificatie van captcha_id en auth_captcha over die door MailController::submit() in de webinterface wordt uitgevoerd. Een niet-geauthenticeerde aanvaller die toegang heeft tot de API kan daardoor inzendingen automatiseren zonder de ingeschakelde afbeeldingsuitdaging op te lossen. De API schakelt FormProtection uit en heeft geen limiet voor het aantal aanvragen; inzendingen kunnen spam in de inbox van beheerders genereren, door aanvallers beïnvloede automatische antwoorden naar derden sturen wanneer een e-mailveld aanwezig is, en records in de mail_messages-database verzamelen wanneer save_info is ingeschakeld. De API voert al de `isAccepting()`-controle uit die is toegevoegd voor CVE-2026-30878; de ontbrekende CAPTCHA-controle is een aparte beveiligingsfout. Dit probleem is verholpen in versie 5.3.2 en 5.4.2.
Origineel (Engels) tonen
baserCMS is a website development framework. In versions 5.0.0 before 5.3.2 and 5.4.0 before 5.4.2, the public POST /baser/api/bc-mail/mail_messages/add/{mailContentId}.json endpoint accepts submissions without enforcing the form's auth_captcha setting. BcMailControllerApiMailMessagesController::add() and MailMessagesService::create() omit the BcCaptchaService::check() verification of captcha_id and auth_captcha performed by MailController::submit() in the web UI. An unauthenticated attacker who can reach the API can therefore automate submissions without solving the enabled image challenge. The API disables FormProtection and has no rate limit; submissions can generate administrator-inbox spam, send attacker-influenced auto-replies to third parties when an email field is present, and accumulate mail_messages database records when save_info is enabled. The API already enforces the isAccepting() check added for CVE-2026-30878; the missing CAPTCHA check is a separate control failure. This issue has been patched in versions 5.3.2 and 5.4.2.