CVE-2026-114622
Publiée le 2026-10-23 · Dernière modification le 2026-10-23
Les versions 5.2.3 à 5.3.1 et 5.4.0 à 5.4.1 de baserCMS sont concernées si le plugin optionnel BcThemeFile est installé. Ce framework est utilisé pour la création de sites web, et la faille réside dans la manière dont le plugin gère les chemins de fichiers dans son API d'administration. En utilisant des caractères encodés en pourcentage, un utilisateur peut contourner les vérifications de sécurité censées restreindre la modification des fichiers au répertoire du thème.
Un attaquant disposant d'identifiants d'administrateur peut exploiter cette faille pour écrire des fichiers PHP malveillants partout où le serveur web possède des droits d'écriture, y compris à la racine du site (webroot). Cela entraîne une compromission totale de la confidentialité, de l'intégrité et de la disponibilité, car l'attaquant peut exécuter du code arbitraire sur le serveur. Bien que l'attaque soit techniquement simple à réaliser via un réseau, elle nécessite des privilèges administratifs de haut niveau pour réussir.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
baserCMS is a website development framework. In versions 5.2.3 before 5.3.2 and 5.4.0 before 5.4.2, the optional BcThemeFile plugin's Admin API validates a raw path in ThemeFilesService::update() and getFullpath(), but ThemeFileForm::_execute() subsequently applies rawurldecode() to fullpath before writing. Because normalizePath() resolves only literal dot segments, percent-encoded traversal can pass the containment checks and become a path outside the theme directory at the write sink. An authenticated administrator can write PHP files into writable locations such as webroot and execute them, exceeding the intended theme-template editing boundary. The source also identifies the same check-before-decode ordering in ThemeFilesService::copy(), although that path was not dynamically verified. Exploitation requires the non-default plugin, an administrator session, and a same-origin Origin header; USE_CORE_ADMIN_API=false does not block session-authenticated requests. The Admin web form is not affected by this encoded-path tampering because FormProtection protects fullpath. This is a third bypass of the protections associated with CVE-2026-30940, using encoded traversal decoded after validation. This issue has been patched in versions 5.3.2 and 5.4.2.