baserCMS BcCustomContent: Beliebiger PHP-Dateiupload und Ausführung

Zusammenfassung

baserCMS, ein Framework für die Entwicklung von Websites, weist im Plugin BcCustomContent eine Schwachstelle auf, die das Speichern und Ausführen von beliebigem PHP-Code unterhalb des Dokumentenstammverzeichnisses erlaubt. Laut CVE-Beschreibung legt PermissionGroupsService::build() für alle Nicht-Administratorgruppen eine Wildcard-Freigabe an, wenn ein Plugin keine Datei config/permission.php hat, und BcCustomContent enthält keine solche Datei. Der CNA-Eintrag beschreibt dagegen Dateifelder, die ausführbare Erweiterungen wie php erlauben können. Ein Angreifer mit einem Operator-Konto mit geringen Rechten könnte, nachdem ein Administrator das Plugin installiert hat, eine Web Shell hochladen und ausführen.

Betroffen

• baserCMS 5.0.0-beta1 bis vor 5.3.2
• baserCMS 5.4.0 bis vor 5.4.2
• Komponente: Plugin BcCustomContent

Behoben in

• Auf baserCMS 5.3.2 oder 5.4.2 (oder neuer) aktualisieren.

Umgehung

• Vom Hersteller ist keine Workaround-Massnahme veröffentlicht.
• Die Berechtigungen der Operator-Gruppen im Administrationsbereich prüfen und nicht benötigte Zugriffe entfernen.
• Die Dateifeld-Einstellungen von BcCustomContent prüfen und ausführbare Erweiterungen aus der Liste der erlaubten Erweiterungen entfernen.
• Das Webroot auf unerwartete PHP-Dateien prüfen.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.

Unsere Empfehlung

• baserCMS vorrangig auf 5.3.2 oder 5.4.2 (oder neuer) aktualisieren, wenn die Website aus dem Internet erreichbar ist oder mehrere Operator-Konten existieren.
• Falls ein sofortiges Update nicht möglich ist, die oben genannten Workarounds anwenden.
• Prüfen, ob BcCustomContent installiert ist und ob unerwartete PHP-Dateien im Webroot vorhanden sind.
• Den Zugriff auf den Administrationsbereich netzwerkseitig einschränken und die Operator-Konten überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-8jrp-4h7c-m679 github.com
• baserCMS release 5.3.2 github.com
• baserCMS release 5.4.2 github.com
• Fix commit 2ed19c8 github.com
• Fix commit b0ef31b github.com
• VulDB CVE-2026-115481 vuldb.com
• OSV CVE-2026-115481 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:13.