CVE-2026-27697: baserCMS: injeção de SQL em posts de blog
As versões do baserCMS anteriores à 5.2.3 contêm uma vulnerabilidade de injeção de SQL em posts de blog, classificada como CWE-89. A NVD atribui pontuação CVSS 9.8, e o registro informa que o problema foi corrigido na 5.2.3. O catálogo KEV da CISA não lista este CVE e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O baserCMS é um framework para desenvolvimento de websites. O registro descreve uma vulnerabilidade de injeção de SQL em posts de blog que afeta versões anteriores à 5.2.3, classificada como CWE-89. O problema é apontado como corrigido na 5.2.3.
Impacto
- A NVD atribui pontuação CVSS 9.8, com vetor indicando vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade.
- O GitHub, como CNA, lista pontuação CVSS v4 de 6.9.
- Os dados SSVC do registro indicam impacto técnico parcial e que o problema é automatizável.
Os dados exatos que poderiam ser lidos ou alterados dependem da funcionalidade de blog e da implantação, o que o registro não detalha.
Produtos e versões afetadas
- Basercms Basercms: anteriores à 5.2.3
- Baserproject Basercms: anteriores à 5.2.3
A versão corrigida é a 5.2.3, conforme a descrição e a referência de lançamento. O campo de correções do registro está vazio, o que não deve ser interpretado como ausência de correção.
Status de exploração
Segundo o registro, este CVE não consta no catálogo KEV da CISA, portanto a exploração ativa não está confirmada. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.0054, com percentil de 0.44671, e a exploração no SSVC está registrada como nenhuma.
Correção e mitigação
- Atualize o baserCMS para a versão 5.2.3 ou posterior, conforme indicado na descrição e nas notas de lançamento.
- Consulte o aviso de segurança do GitHub e o aviso JVN para orientações do fornecedor.
- Até a atualização, limite a exposição das funções administrativas e de edição de blog a redes confiáveis, quando possível.
Orientações de detecção
- Revise os logs da aplicação web e do banco de dados em busca de erros de banco ou entradas incomuns nos endpoints de posts de blog.
- Faça um inventário das instalações do baserCMS e identifique qualquer instância em versão anterior à 5.2.3.
Limitações das informações disponíveis
O registro não identifica o parâmetro vulnerável, os endpoints específicos nem pré-condições além do que o vetor CVSS expressa. As informações de versão corrigida vêm da descrição e da referência de lançamento, pois o campo de correções está vazio.
Perguntas frequentes
Quais versões do baserCMS são afetadas?
Segundo o registro, as versões anteriores à 5.2.3 de Basercms Basercms e Baserproject Basercms são afetadas.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que este CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer?
Atualizar para a versão 5.2.3 ou posterior, consultar o aviso do fornecedor e revisar logs e inventário em busca de instâncias com versões antigas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.