CVE-2026-115457

Nome do Software Vulnerável e Versões Afetadas baserCMS versões 5.0.0 até 5.3.1 baserCMS versões 5.4.0 até 5.4.1

Descrição A expansão global de shortcodes processa a página renderizada completa, incluindo comentários de blog com escape HTML fornecidos por visitantes não autenticados. Isso permite o cross-site scripting (XSS) armazenado, pois o processamento de shortcodes ocorre após a renderização do HTML. Um invasor pode usar o shortcode BcBaser.getGoogleMaps para definir a variável apiBaseUrl como uma URL de script maliciosa, que executa JavaScript na origem do site quando um visitante ou administrador visualiza o comentário. Além disso, o shortcode Mail.getForm pode ser usado para incorporar um formulário de contato com um token CSRF (Cross-Site Request Forgery) válido, que é uma técnica para enganar um usuário para realizar ações não pretendidas. Isso pode comprometer o contexto do navegador autenticado de um administrador.

Recomendações Atualizar baserCMS versões 5.0.0 até 5.3.1 para a versão 5.3.2. Atualizar baserCMS versões 5.4.0 até 5.4.1 para a versão 5.4.2.