CVE-2026-114622

baserCMS to framework do tworzenia stron internetowych. W wersjach 5.2.3 wcześniejszych niż 5.3.2 i 5.4.0 wcześniejszych niż 5.4.2 opcjonalny interfejs administracyjny wtyczki BcThemeFile sprawdza poprawność surowej ścieżki w ThemeFilesService::update() i getFullpath(), ale ThemeFileForm::_execute() następnie stosuje rawurldecode() do fullpath przed zapisem. Ponieważ funkcja normalizePath() rozpoznaje tylko segmenty z dosłownymi kropkami, przechodzenie zakodowane procentowo może przejść kontrolę zawartości i stać się ścieżką poza katalogiem motywu w ujściu zapisu. Uwierzytelniony administrator może zapisywać pliki PHP w zapisywalnych lokalizacjach, takich jak webroot, i uruchamiać je, przekraczając zamierzoną granicę edycji motywu i szablonu. Źródło wskazuje również tę samą kolejność sprawdzania przed dekodowaniem w ThemeFilesService::copy(), chociaż ścieżka ta nie była weryfikowana dynamicznie. Eksploatacja wymaga wtyczki innej niż domyślna, sesji administratora i nagłówka Origin tego samego pochodzenia; USE_CORE_ADMIN_API=false nie blokuje żądań uwierzytelnionych przez sesję. Ta modyfikacja zakodowanej ścieżki nie ma wpływu na formularz internetowy administratora, ponieważ FormProtection chroni pełną ścieżkę. Jest to trzecie obejście zabezpieczeń związanych z CVE-2026-30940, polegające na wykorzystaniu zakodowanego zdekodowania przejścia po walidacji. Ten problem został naprawiony w wersjach 5.3.2 i 5.4.2.