CVE-2026-39390
Təsvir
CI4MS, RBAC avtorizasiyası və mövzu dəstəyi ilə istehsala hazır, modulyar arxitektura təqdim edən CodeIgniter 4 əsaslı bir CMS skeletidir. 0.31.4.0 versiyasından əvvəl, compInfosPost() funksiyasındakı Google Maps iframe tənzimləməsi (cMap sahəsi), giriş məlumatlarını <iframe> ağ siyahısı olan strip_tags() və on\w+ hadisə idarəçilərinin reqeks əsaslı silinməsi ilə təmizləyir. Lakin srcdoc atributu hadisə idarəçisi deyil və bütün filtrlərdən keçir. Admin tənzimləmələrinə çıxışı olan hücumçu, autentifikasiya olunmamış front-end ziyarətçiləri üçün render olunduqda valideyn səhifənin kontekstində icra olunan, HTML-obyekt kodu ilə şifrələnmiş JavaScript ehtiva edən <iframe srcdoc="..."> yükünü yerləşdirə bilər. Bu zəiflik 0.31.4.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- ci4-cms-erp/ci4ms0.31.4.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ci4-cms-erp ci4ms | v ≤ 0.31.3.0 | — |
| ci4-cms-erp/ci4msPackagist | v < 0.31.4.0 | 0.31.4.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.