baserCMS แก้ช่องโหว่ 8 จุดใน Admin API ธีม บล็อก และเมลฟอร์ม อัปเดตเป็น 5.3.2/5.4.2

ผู้ดูแล baserCMS เผยแพร่คำแนะนำความปลอดภัยแปดรายการในวันที่ 22 ตุลาคม 2026 ครอบคลุมหน้าผู้ดูแล ระบบธีม วิดเจ็ต บล็อก และแบบฟอร์มอีเมล โดยออกรุ่นแก้ 5.3.2 และ 5.4.2 ในวันเดียวกัน ระเบียน CVE ทั้งแปดรายการเผยแพร่ตามมาในวันที่ 23 ตุลาคม ประเด็นเหล่านี้มีเงื่อนไขต่างกันมาก: บางจุดต้องมีบัญชีผู้ดูแลหรือเปิดปลั๊กอินเสริมก่อน ขณะที่บางจุดรับข้อมูลจากผู้เข้าชมทั่วไปได้ จึงควรตรวจเวอร์ชันและฟีเจอร์ที่เปิดอยู่จริงก่อนจัดลำดับการตอบสนอง

ช่องโหว่ในงานผู้ดูแลและไฟล์ธีม

CVE-2026-114621 เป็น SQL injection ในเส้นทาง Admin และ Api/Admin ของรุ่น 5.0.0 ถึงก่อน 5.3.2 และ 5.4.0 ถึงก่อน 5.4.2 ผู้ที่ล็อกอินเข้าหน้าผู้ดูแลได้อาจส่งตัวเลือก query ไปถึง ORM โดยตรงและอ่านข้อมูลในฐานข้อมูล รวมถึง hash ของรหัสผ่าน คำแนะนำระบุว่าการแก้เส้นทาง public page และ public API ในรุ่นก่อนหน้ายังไม่ครอบคลุมเส้นทางผู้ดูแลนี้ การตั้ง USE_CORE_ADMIN_API=false ก็ไม่ได้ป้องกันคำขอที่มีเซสชันผู้ดูแลผ่านเบราว์เซอร์

CVE-2026-114622 กระทบ Admin API ของปลั๊กอิน BcThemeFile ซึ่งเป็นส่วนเสริมที่ไม่ได้เปิดใช้เป็นค่าเริ่มต้น เส้นทางเขียนไฟล์ตรวจ path ก่อน decode อักขระที่เข้ารหัสไว้ ทำให้ผู้ดูแลที่ล็อกอินอาจข้ามขอบเขตโฟลเดอร์ธีมและเขียนไฟล์ในตำแหน่งที่เว็บเซิร์ฟเวอร์เขียนได้ รุ่นที่ระบุว่ากระทบคือ 5.2.3 ถึงก่อน 5.3.2 และ 5.4.0 ถึงก่อน 5.4.2 คำแนะนำจำกัดเงื่อนไขว่าต้องมีปลั๊กอินนี้ เซสชันผู้ดูแล และ Origin แบบ same-origin; แบบฟอร์มเว็บ Admin ไม่ถูกกระทบจากวิธี encoded path เดียวกัน

CVE-2026-114623 อยู่ในหน้าจอ Admin ของ BcThemeFile เช่นกัน แต่เป็นการอ่านไฟล์นอกโฟลเดอร์ธีมโดยผู้ใช้ที่มีเพียงสิทธิ์ดูไฟล์ธีม ขอบเขตไฟล์ที่อ่านได้ตามคำแนะนำจำกัดไว้ที่นามสกุล .php, .css, .js และ .ctp อาจเปิดเผยซอร์สหรือข้อมูลตั้งค่าบางส่วน แต่ไม่ได้แปลว่าอ่าน .env หรือฐานข้อมูล SQLite ได้ และช่องโหว่นี้เองไม่ได้ให้สิทธิ์เขียนไฟล์หรือรันคำสั่ง ต้องมีบัญชีและปลั๊กอินที่เปิดใช้งานก่อน

CVE-2026-114624 เกี่ยวกับการ deserialize ข้อมูลวิดเจ็ตจาก Admin JSON API โดยไม่มีข้อจำกัดชนิดคลาส ผู้ที่มีสิทธิ์เขียนวิดเจ็ต หรือได้สิทธิ์นั้นผ่านช่องโหว่อื่น สามารถฝาก object ที่เป็นอันตรายไว้ในฐานข้อมูล แล้วให้การอ่านหน้าเว็บภายหลังเป็นตัวกระตุ้นการทำงาน คำแนะนำแสดงเส้นทางที่อาจไปถึงการรันคำสั่งในบริบทผู้ใช้เว็บเซิร์ฟเวอร์ แต่ผู้เข้าชมที่ไม่ล็อกอิน ไม่ได้ฝาก payload เองได้จากช่องนี้โดยลำพัง ต้องแยกขั้นตอนฝากข้อมูลกับขั้นตอนกระตุ้นให้ชัด

ช่องที่เกี่ยวกับผู้เข้าชมและฟอร์มสาธารณะ

CVE-2026-115457 เป็น stored XSS ในความคิดเห็นของบล็อก baserCMS escape HTML ของ comment แล้ว แต่ระบบขยาย shortcode กับหน้าเว็บที่ render เสร็จทั้งหน้า หากผู้เข้าชมใส่ shortcode บางชนิดในความคิดเห็น อาจทำให้หน้าโหลดสคริปต์จากปลายทางที่ผู้โจมตีเลือก เมื่อผู้ดูแลหรือผู้ใช้คนอื่นเปิดบทความที่มีความคิดเห็นนั้น JavaScript จะทำงานใน origin ของเว็บไซต์ จุดนี้ไม่ต้องมีบัญชีเพื่อส่ง comment ตามขอบเขตที่คำแนะนำระบุ

CVE-2026-115479 อยู่ในแบบฟอร์มอีเมลที่เปิด auto-reply ช่องอีเมลของผู้เข้าชมอาจรับรายการที่อยู่หลายรายการคั่นด้วยจุลภาคและส่งตอบกลับไปยังบุคคลที่สามได้ เงื่อนไขคือแบบฟอร์มที่สร้างเองมีช่องอีเมลและไม่ได้เปิดการตรวจ VALID_EMAIL ฝั่งเซิร์ฟเวอร์ แบบฟอร์มติดต่อที่มากับระบบเปิดการตรวจนี้อยู่แล้วและไม่อยู่ในขอบเขตดังกล่าว การตรวจ type=email ในเบราว์เซอร์อย่างเดียวไม่พอสำหรับคำขอที่สร้างเอง

CVE-2026-115480 เป็นการข้าม image CAPTCHA ใน public Web API สำหรับส่งแบบฟอร์มอีเมล แม้หน้าเว็บปกติจะตรวจ CAPTCHA แต่เส้นทาง API ที่คำแนะนำระบุไม่ได้ตรวจค่าดังกล่าว ผู้ที่เข้าถึง API จึงส่งข้อความอัตโนมัติได้ อาจเพิ่ม spam ในกล่องรับของผู้ดูแล ส่ง auto-reply ไปยังภายนอก หรือสะสมข้อมูลในฐานข้อมูลหากเปิดการบันทึกฟอร์ม ประเด็นนี้ต่างจาก CVE-2026-115479 แม้ทั้งสองเกี่ยวกับเมลฟอร์ม

CVE-2026-115481 เกิดเมื่อระบบติดตั้งปลั๊กอิน BcCustomContent แล้วการสร้าง permission group ใช้กฎอนุญาตแบบกว้างหากไฟล์กำหนดสิทธิ์ของปลั๊กอินไม่มีอยู่ ค่าเริ่มต้นของกลุ่ม operators จึงอาจเข้าถึงการจัดการไฟล์ที่นำไปสู่การอัปโหลดและรัน PHP ได้ เงื่อนไขคือผู้ดูแลติดตั้งปลั๊กอิน และผู้ใช้ในกลุ่มที่ได้รับสิทธิ์กว้างดังกล่าวดำเนินการต่อ ไม่ใช่การอัปโหลด PHP โดยผู้เยี่ยมชมที่ไม่มีบัญชี

สิ่งที่ควรตรวจวันนี้

ตรวจ composer.lock และเวอร์ชันที่รันจริง หากอยู่ในสาย 5.3 ให้อัปเดตเป็น 5.3.2 และหากอยู่ในสาย 5.4 ให้อัปเดตเป็น 5.4.2 หรือรุ่นใหม่กว่าที่ผู้ดูแลรองรับ ทดสอบเว็บไซต์ ธีม บล็อก และเมลฟอร์มหลังอัปเดต ตรวจว่ามี BcThemeFile และ BcCustomContent เปิดใช้งานหรือไม่ ทบทวนสิทธิ์ของกลุ่มที่แก้ไฟล์ธีม วิดเจ็ต และเนื้อหาแบบกำหนดเอง ลดสิทธิ์ที่ไม่จำเป็น และตรวจ log การแก้ข้อมูลผู้ใช้ ไฟล์ธีม และการส่งแบบฟอร์ม หากพบร่องรอยที่น่าสงสัยให้ตรวจข้อมูลและความลับที่อาจเปิดเผยตามขั้นตอนรับมือเหตุการณ์ขององค์กร

รุ่น 5.3.2 เผยแพร่บน GitHub วันที่ 22 ตุลาคม 2026 เวลา 10:06 UTC และ 5.4.2 เวลา 10:19 UTC คำแนะนำทั้งแปดเผยแพร่ต่อสาธารณะวันเดียวกันราว 09:16 UTC ส่วนระเบียน CVE เผยแพร่ครั้งแรกวันที่ 23 ตุลาคม 2026 ระหว่าง 13:34–14:00 UTC ข้อมูลเวอร์ชันและเงื่อนไขแต่ละจุดให้ยึดคำแนะนำแยกรายการ ไม่ใช่เหมารวมจากข่าวสรุปนี้

ต้นทาง: CVE-2026-114621, 114622, 114623, 114624, 115457, 115479, 115480, 115481 และรุ่นแก้ 5.3.2, 5.4.2