平台
php
组件
baserproject/basercms
修复版本
5.2.4
5.2.3
CVE-2026-32734是baserCMS网站开发框架中存在的一个基于DOM的跨站脚本（XSS）漏洞。该漏洞存在于标签创建过程中，允许攻击者注入恶意脚本，当用户访问包含恶意脚本的页面时，脚本将在用户的浏览器中执行。受影响的版本包括5.2.3之前的baserCMS版本。此问题已在5.2.3版本中得到修复。
basercms 5.2.2 及更早版本存在 CVE-2026-32734 漏洞，允许通过标签创建执行恶意 JavaScript 代码。这是一种基于 DOM 的跨站脚本攻击 (XSS) 漏洞。攻击者可以将 JavaScript 代码注入到标签中，然后在访问包含该标签的页面的用户的浏览器中执行代码。这可能允许攻击者窃取 Cookie、将用户重定向到恶意网站或代表用户执行其他恶意操作。根据 CVSS 的评分，此漏洞的严重程度评为 7.1，表明中等到高风险。
该漏洞通过在 basercms 中创建标签并在标签的文本字段中注入恶意 JavaScript 代码来利用。当用户访问包含此标签的页面时，JavaScript 代码将在用户的浏览器中执行。攻击者可以使用此技术来获取敏感的用户信息或执行未经授权的操作。
Organizations and individuals using baserproject/basercms version 5.2.2 or earlier are at risk. This includes websites and applications built on basercms, particularly those with user-generated content or public-facing tag creation features. Shared hosting environments utilizing basercms are also at increased risk due to potential cross-tenant contamination.
• php: Examine basercms tag creation forms for suspicious input. Use grep to search for potentially malicious JavaScript code within the tag content.
grep -r 'alert\(' /var/www/basercms/application/views• generic web: Monitor access logs for requests to tag creation endpoints with unusual parameters. Check response headers for signs of JavaScript injection.
curl -I https://example.com/basercms/tags/create | grep Content-Type• generic web: Use a web vulnerability scanner to identify XSS vulnerabilities in the tag creation functionality.
disclosure
漏洞利用状态
EPSS
0.03% (9% 百分位)
CISA SSVC
减轻此漏洞的建议措施是将 basercms 更新到 5.2.3 或更高版本。此版本包含修复程序，可防止在标签创建过程中注入恶意 JavaScript 代码。为了保护您的网站免受潜在攻击，建议尽快应用此更新。有关如何更新的详细说明，请参阅 basercms 安全页面（https://basercms.net/security/JVN_94952030）。此外，审查并清理可能已被破坏的任何现有标签至关重要。
更新 baserCMS 到 5.2.3 或更高版本。此版本包含对标签创建中基于 DOM 的跨站脚本 (Cross-Site Scripting, XSS) 漏洞的修复。可以通过 baserCMS 管理面板进行更新，或者从官方网站下载最新版本并按照更新说明进行操作。
漏洞分析和关键警报直接发送到您的邮箱。
XSS（跨站脚本攻击）是一种安全漏洞，允许攻击者将恶意脚本注入到其他用户查看的网页中。
如果您使用的是 basercms 5.2.3 之前的版本，则您的网站容易受到攻击。进行安全审计以识别潜在的已破坏标签。
立即更新到 5.2.3 或更高版本。检查服务器日志和数据库是否存在可疑活动。考虑聘请安全专业人员进行全面评估。
如果无法立即更新，请实施其他安全措施，例如用户输入验证和清理，以及使用内容安全策略 (CSP)。
quanlna2 (Le Nguyen Anh Quan)、namdi (Do Ich Nam)、minhnn42 (Nguyen Ngoc Minh) 和 VCSLab - Viettel Cyber Security 发现了此漏洞。
CVSS 向量