CVE-2026-115481
baserCMS: BcCustomContent file fields can be configured to allow executable file extensions such as php, leading to arbitrary PHP file upload
CVSS 3.1Medium
8.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновить baserCMS до релизной версии с фиксом проверки расширений и запретить выполнение скриптов в каталоге загрузок через веб-сервер.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В CMS baserCMS возможна загрузка произвольных PHP-скриптов через поля BcCustomContent, что приводит к RCE на сервере.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Конфигурация полей загрузки файлов BcCustomContent допускает сохранение файлов с исполняемыми расширениями php без строгой фильтрации mime-типа.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Неавторизованное выполнение произвольного PHP-кода на веб-сервере с правами процесса веб-сервиса и компрометация хоста.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/baserproject/basercms/security/advisories/GHSA-8jrp-4h7c-m679
- github.comhttps://github.com/baserproject/basercms/commit/2ed19c878add5c26fc765572e0e77173c1f1fdb5
- github.comhttps://github.com/baserproject/basercms/commit/b0ef31b10dc6267b48ebc9a80d34bc7c4c09c311
- github.comhttps://github.com/baserproject/basercms/releases/tag/5.3.2
- github.comhttps://github.com/baserproject/basercms/releases/tag/5.4.2
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-115481: baserCMS: BcCustomContent file fields can be configured to allow executable file extensions such as php, leading to arbitrary PHP file upload. URL: https://cve.futuretools.ru/cve/CVE-2026-115481
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_115481,
title = {{CVE-2026-115481: baserCMS: BcCustomContent file fields can be configured to allow executable file extensions such as php, leading to arbitrary PHP file upload}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-115481}},
note = {Оперативный инженерный анализ киберугроз}
}