Plateforme
php
Composant
baserproject/basercms
Corrigé dans
5.2.4
5.2.3
CVE-2026-32734 est une vulnérabilité de Cross-Site Scripting (XSS) basée sur le DOM affectant baserCMS. Elle permet à un attaquant d'injecter du code JavaScript malveillant dans le contexte d'un utilisateur. Les versions affectées sont antérieures à 5.2.3. La version 5.2.3 corrige cette vulnérabilité.
La vulnérabilité CVE-2026-32734 dans basercms affecte les versions 5.2.2 et antérieures, permettant l'exécution de code JavaScript malveillant via la création de balises (tags). Il s'agit d'une vulnérabilité Cross-Site Scripting (XSS) basée sur le DOM. Un attaquant pourrait injecter du code JavaScript dans une balise, qui serait ensuite exécuté dans le navigateur d'un utilisateur visitant la page contenant cette balise. Cela pourrait permettre à l'attaquant de voler des cookies, de rediriger l'utilisateur vers des sites web malveillants ou d'effectuer d'autres actions malveillantes au nom de l'utilisateur. La gravité de cette vulnérabilité est notée 7.1 selon le CVSS, ce qui indique un risque modéré à élevé.
La vulnérabilité est exploitée en créant une balise dans basercms et en injectant du code JavaScript malveillant dans le champ de texte de la balise. Lorsque l'utilisateur visite la page contenant cette balise, le code JavaScript s'exécute dans son navigateur. L'attaquant pourrait utiliser cette technique pour obtenir des informations sensibles de l'utilisateur ou pour effectuer des actions non autorisées.
Organizations and individuals using baserproject/basercms version 5.2.2 or earlier are at risk. This includes websites and applications built on basercms, particularly those with user-generated content or public-facing tag creation features. Shared hosting environments utilizing basercms are also at increased risk due to potential cross-tenant contamination.
• php: Examine basercms tag creation forms for suspicious input. Use grep to search for potentially malicious JavaScript code within the tag content.
grep -r 'alert\(' /var/www/basercms/application/views• generic web: Monitor access logs for requests to tag creation endpoints with unusual parameters. Check response headers for signs of JavaScript injection.
curl -I https://example.com/basercms/tags/create | grep Content-Type• generic web: Use a web vulnerability scanner to identify XSS vulnerabilities in the tag creation functionality.
disclosure
Statut de l'Exploit
EPSS
0.03% (percentile 9%)
CISA SSVC
Vecteur CVSS
La solution recommandée pour atténuer cette vulnérabilité est de mettre à jour basercms vers la version 5.2.3 ou ultérieure. Cette version inclut une correction qui empêche l'injection de code JavaScript malveillant lors de la création de balises. Il est recommandé d'appliquer cette mise à jour dès que possible pour protéger votre site web contre d'éventuelles attaques. Consultez la page de sécurité de basercms (https://basercms.net/security/JVN_94952030) pour obtenir des instructions détaillées sur la façon de procéder à la mise à jour. De plus, il est crucial de revoir et de nettoyer toutes les balises existantes qui pourraient avoir été compromises.
Mettez à jour baserCMS vers la version 5.2.3 ou supérieure. Cette version contient le correctif pour la vulnérabilité de Cross-Site Scripting (XSS) basée sur DOM dans la création de balises. La mise à jour peut être effectuée via le panneau d'administration de baserCMS ou en téléchargeant la dernière version depuis le site web officiel et en suivant les instructions de mise à jour.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
XSS (Cross-Site Scripting) est un type de vulnérabilité de sécurité qui permet aux attaquants d'injecter des scripts malveillants dans des pages web consultées par d'autres utilisateurs.
Si vous utilisez une version de basercms antérieure à la 5.2.3, votre site web est vulnérable. Effectuez un audit de sécurité pour identifier les balises potentiellement compromises.
Mettez à jour immédiatement vers la version 5.2.3 ou ultérieure. Examinez les journaux du serveur et les bases de données à la recherche d'activités suspectes. Envisagez de faire appel à un professionnel de la sécurité pour effectuer une évaluation complète.
Si vous ne pouvez pas mettre à jour immédiatement, mettez en œuvre des mesures de sécurité supplémentaires, telles que la validation et la désinfection des entrées utilisateur, et l'utilisation d'une politique de sécurité du contenu (CSP).
La vulnérabilité a été découverte par quanlna2 (Le Nguyen Anh Quan), namdi (Do Ich Nam), minhnn42 (Nguyen Ngoc Minh) et VCSLab - Viettel Cyber Security.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.