baserCMS 5.3.1 リリース

baserCMS 開発チームは、baserCMS５の新バージョン 5.3.1 が利用できるようになったことを発表します。
これは 5.3.1 のセキュリティフィックス版リリースです。

1. メールフォーム項目の付加文字列による格納型クロスサイトスクリプティング（JVN#14353754）：CVE-2026-93460
2. ブログコメント公開APIにおける未認証の情報漏えい（承認前コメント・投稿者メールアドレス）（JVN#56752971）：CVE-2026-93462
3. スクリプト検証（containsScript）のバイパスによるクロスサイトスクリプティング（JVN#76990966）：CVE-2026-93463
4. カスタムコンテンツ説明文による格納型クロスサイトスクリプティング（JVN#26271410）：CVE-2026-93464
5. ブログ公開ページにおけるネストしたcontainパラメータを介した未認証SQLインジェクション（GHSA-ch8f-q957-r9xm）
6. カスタムコンテンツ公開ページにおけるネストしたcontainパラメータを介した未認証SQLインジェクション（GHSA-2ghw-gwvv-mv56）
7. Blog Tags APIにおけるネストしたcontainパラメータを介した未認証SQLインジェクション（GHSA-v9g2-xmwr-23vc、GHSA-636g-rgj6-542v）
8. 限定公開ファイル表示機能におけるパス・トラバーサル（GHSA-p22r-jcj7-mf93）
9. 管理画面2要素認証コードの総当たり（試行回数制限の欠如）（GHSA-pqvq-3jg5-27x4）

1、3、4、8については管理画面を不特定多数のユーザーに利用させている場合のみに対応が必要となる脆弱性です。

• 2026/09/24 baserCMSにXSSをはじめとする複数の脆弱性
• baserCMS 5.3.1 ダウンロード

　

baserCMS 5.3.1 のリリースについて

新機能

• NEW [BG] 【ブログカテゴリ】カテゴリの並び替え機能を追加 fix #3238

変更点

• CHG [BC] 【プラグイン管理】プラグインのアップロード時に zip 形式以外のファイルを受け付けないよう検証を追加
• CHG [BC] 【ユーザー管理】名前[姓]／名前[名]の前後の空白除去について、ノーブレークスペースやタブなども対象とするよう改善
• CHG [SO] 【SEO】管理画面の各所からマニュアルへの導線を追加し、案内メッセージを調整

バグフィックス

• BUG [BC] 【システム】データの復元が Fatal error で失敗する不具合を修正 fix #4505
• BUG [BC] 【システム】TRUST_PROXY=true 環境でコアプラグインの API が常に Forbidden になる問題を修正 fix #4499
• BUG [BC] 非公開のサブサイトを開いた際に500エラーになる件を修正
• BUG [BC] 【アクセスルール】絞り込み検索でクリアしても検索条件が元に戻らない件を修正 fix #4452
• BUG [BC] 【ユーザー管理】ニックネームに半角・全角スペースが登録できてしまう件を修正
• BUG [BC] 【ユーザー管理】2要素認証の認証コードが総当たりで突破できる問題を修正（GHSA-pqvq-3jg5-27x4）
• BUG [BC] スクリプト検証（containsScript）を回避してスクリプトを保存できる問題を修正（JVN#76990966）
• BUG [CC] 【カスタムコンテンツ】説明文に保存したスクリプトが一覧ページで実行される問題を修正（JVN#26271410）
• BUG [CC] 【カスタムコンテンツ】公開ページで未認証の SQL インジェクションが可能だった問題を修正（GHSA-2ghw-gwvv-mv56）
• BUG [BG] 【ブログ】公開ページで未認証の SQL インジェクションが可能だった問題を修正（GHSA-ch8f-q957-r9xm）
• BUG [BG] 【ブログ】ブログタグ API で未認証の SQL インジェクションが可能だった問題を修正（GHSA-v9g2-xmwr-23vc、GHSA-636g-rgj6-542v）
• BUG [BG] 【ブログ】ブログコメント API で承認前のコメントと投稿者のメールアドレスが未認証で取得できる問題を修正（JVN#56752971）
• BUG [ML] 【メール】メールフィールドの見出し・説明文などに保存したスクリプトがフォーム画面で実行される問題を修正（JVN#14353754）
• BUG [UL] 【アップロード管理】限定公開ファイルの表示で公開範囲外のファイルが閲覧できる問題を修正（GHSA-p22r-jcj7-mf93）

　

インストールする

baserCMS5のインストールついては、インストールガイド をご覧ください。

　

アップデートする

baserCMS5のアップデートについては オートアップデート をご覧ください。

尚、v5.1.0以下からのアップデートは、アップデーターに問題があり、従来と異なるアップデート手順が必要になります。
baserCMS v5.1.1 アップデートガイド を参考にして、新バージョンへアップデートをお願いします。
※ v5.1.1 となっていますが、v5.1.2 以降も上記ページと同様の作業で大丈夫です。

　

baserCMS５の Packagist

baserCMS５ の各パッケージについてはモノレポで分散管理しています。Pakagist はこちらです。

• BaserCore（baserCMSコアパッケージ）
• BcAdminThird（管理画面デフォルトテーマ）
• BcFront（フロントエンドデフォルトテーマ）
• BcBlog（ブログ機能）
• BcColumn（公式付属テーマ）
• BcContentLink（コンテンツリンク機能）
• BcEditorTemplate（エディタテンプレート機能）
• BcFavorite（お気に入り機能）
• BcInstaller（インストーラー）
• BcMail（メールフォーム機能）
• BcSearchIndex（サイト内検索機能）
• BcSeo（SEO設定機能）
• BcThemeConfig（テーマ設定機能）
• BcThemeFile（テーマファイル管理機能）
• BcUploader（アップロードファイル管理機能）
• BcWidgetArea（ウィジェットエリア機能）

　

バグを見つけたら

バグを見つけたら、GitHub の Issue または、ユーザーズフォーラム にお知らせください。
（あなたがエンジニアであるなら是非プルリクエストをお待ちしています）

　

開発への貢献について

baserCMSはボランティアベースで運営されているオープンソースプロジェクトです。

コアパッケージの開発を含め、様々な形で参加する事ができます。詳しくは次のページをご覧ください。

• baserCMSのユーザーコミュニティー
• baserCMSへの貢献

　

baserCMS 5.3.1 の開発貢献者

• cu-iwasaki
• kaburk
• otsuka
• otsuka-star
• ryuring
• seto1
• 加藤 朗

　
このリリースの実現に協力して頂いたすべての貢献者に感謝します。