CVE-2026-34989
Təsvir
CI4MS, RBAC avtorizasiyası və mövzu dəstəyi ilə istehsala hazır, modulyar arxitektura təqdim edən CodeIgniter 4 əsaslı CMS skeletidir. 31.0.0.0 versiyasından əvvəl tətbiq, istifadəçilər profil adlarını (məsələn, tam ad / istifadəçi adı) yenilədikdə istifadəçi tərəfindən idarə olunan giriş məlumatlarını düzgün şəkildə təmizləmir. Hücumçu öz profil adına zərərli JavaScript payload-u yerləşdirə bilər və bu daha sonra server tərəfdə saxlanılır. Saxlanılan bu payload sonradan tətbiqin bir çox görünüşündə lazımi çıxış kodlaşdırması olmadan təhlükəsiz olmayan şəkildə render edilir ki, bu da saxlanılmış saytlararası skriptinqə (XSS) səbəb olur. Bu boşluq 31.0.0.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- ci4-cms-erp ci4ms0.31.0.0 və ya daha yeni versiya
- ci4-cms-erp/ci4ms31.0.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ci4-cms-erp ci4ms | v < 0.31.0.0 | 0.31.0.0 |
| ci4-cms-erp/ci4msPackagist | v < 31.0.0.0 | 31.0.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.