baserCMS: неаутентифицированный Stored XSS через шорткоды в комментариях блога (CVE-2026-115457)
В baserCMS обнаружена уязвимость Stored XSS (CVE-2026-115457), позволяющая неаутентифицированному посетителю внедрить вредоносный JavaScript через комментарий к статье блога. Из-за обработки шорткодов уже после HTML-экранирования экранирование не защищает от атаки. Уязвимость оценена в 7.1 (HIGH) и затрагивает версии 5.0.0–5.3.1 и 5.4.0–5.4.1.
Подробности
Уязвимы версии baserCMS с 5.0.0 до 5.3.2 и с 5.4.0 до 5.4.2. Согласно описанию, глобальное раскрытие шорткодов выполняется по всей отрендеренной странице, включая HTML-экранированные комментарии блога, которые оставляют неаутентифицированные посетители. Комментарий, содержащий шорткод BcBaser.getGoogleMaps, может задать параметру apiBaseUrl URL скрипта, контролируемый атакующим. Этот URL выводится как script src и исполняется в origin сайта, когда другой посетитель или администратор открывает статью с таким комментарием. Ключевая особенность проблемы: экранирование сырого HTML в комментариях не предотвращает stored XSS, поскольку обработка шорткодов происходит уже после рендеринга HTML. Кроме того, в комментариях раскрываются и другие зарегистрированные шорткоды — например, Mail.getForm позволяет встроить работающую контактную форму с валидным CSRF-токеном. В результате компрометации может подвергнуться аутентифицированный контекст браузера администратора, просматривающего затронутую статью. Уязвимости присвоен уровень CVSS 7.1 (HIGH).Что делать
Разработчики выпустили исправления в версиях 5.3.2 и 5.4.2 — обновление до них является основным способом устранения уязвимости. Если немедленное обновление невозможно, рекомендуется ограничить возможность оставления комментариев (вплоть до полного отключения), а также запретить или ограничить использование шорткодов в пользовательском контенте. Дополнительно стоит рассмотреть применение Content Security Policy для снижения риска исполнения сторонних скриптов и внимательно проверять уже опубликованные комментарии на предмет подозрительных шорткодов.Итог
CVE-2026-115457 демонстрирует типичную ловушку порядка обработки: экранирование HTML само по себе не защищает, если поверх него выполняется раскрытие шорткодов. Для владельцев сайтов на baserCMS критично обновиться до 5.3.2 или 5.4.2 и проверить настройки пользовательского контента.Источник: CVE Project (cvelistV5)