baserCMS: SQL-Injection im Admin-Bereich und in der Admin API

Zusammenfassung

baserCMS, ein PHP-basiertes Framework für Websites, übergibt Abfrageparameter wie contain, conditions, fields, finder und order aus Listen- und Detailaktionen des Admin-Bereichs direkt an den ORM. Ein authentifizierter Benutzer des Admin-Bereichs kann SQL-Fragmente in diese Parameter einbetten und beliebigen SQL-Code auf der Datenbank ausführen, einschliesslich dem Auslesen von Passwort-Hashes aus der Tabelle users. Die Korrekturen in 5.3.1 und 5.4.1 betrafen nur öffentliche Seiten und die öffentliche API. Die Einstellung USE_CORE_ADMIN_API auf false verhindert diesen Zugriff über eine Browser-Sitzung nicht.

Betroffen

• baserCMS 5.0.0 bis vor 5.3.2
• baserCMS 5.4.0 bis vor 5.4.2
• Unbekannt: ob für 5.0.x, 5.1.x und 5.2.x ein Backport erscheint. Für diese Linien ist keine korrigierte Version aufgeführt.

Behoben in

• 5.3.2 für die Linie 5.3
• 5.4.2 für die Linie 5.4

Umgehung

• Admin-Konten bis zur Aktualisierung auf vertrauenswürdige Benutzer beschränken (Herstellerhinweis).
• Die Einstellung USE_CORE_ADMIN_API auf false ist keine wirksame Massnahme.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden. Eine bekannte Ausnutzung wird in den Quellen nicht gemeldet.
• VulDB führt den Eintrag als 0-Day, bestätigt.

Unsere Empfehlung

• Alle baserCMS-Installationen und deren genaue Versionen erfassen, einschliesslich Installationen der Versionen 5.0 bis 5.2.
• Installationen der Linie 5.3.x auf 5.3.2 und Installationen der Linie 5.4.x auf 5.4.2 aktualisieren.
• Für Systeme, die jetzt nicht aktualisiert werden können, Admin-Konten auf vertrauenswürdige Benutzer beschränken und den Admin-Zugriff auf vertrauenswürdige Netzwerke begrenzen.
• Admin-Konten und Passwortrichtlinie überprüfen und Passwörter erneuern, falls ein Admin-Konto möglicherweise kompromittiert wurde.
• Beim Patchen die weiteren baserCMS-Hinweise prüfen, die im selben Paket veröffentlicht wurden.
• Den Aktualisierungspfad für Installationen der Versionen 5.0 bis 5.2 mit dem Hersteller abklären.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-2w6g-wp3r-26m3 github.com
• baserCMS 5.3.2 Release github.com
• baserCMS 5.4.2 Release github.com
• Fix commit 344de2a github.com
• VulDB entry 425953 vuldb.com
• NVD record via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:42.