CVE-2026-39391
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W CI4MS przed wersją 0.31.4.0 parametr notatki w funkcji blokowania użytkowników nie był oczyszczany przed zapisem do bazy danych ani przed renderowaniem w atrybucie HTML data-note. Administrator z uprawnieniami do blokowania może wstrzyknąć dowolny kod JavaScript, który wykona się w przeglądarce innego administratora przeglądającego stronę zarządzania użytkownikami.
Ocena ryzyka
Atak XSS umożliwia przejęcie sesji, kradzież danych lub wykonanie nieautoryzowanych działań w kontekście konta administratora, co może prowadzić do pełnej kompromitacji systemu CMS.
Rekomendacja
Niezwłocznie zaktualizuj CI4MS do wersji 0.31.4.0 lub nowszej, która zawiera poprawkę usuwającą podatność na XSS poprzez odpowiednie oczyszczanie i kodowanie danych.
Oryginalny opis (angielski, źródło NVD)
CI4MS is a CodeIgniter 4-based CMS skeleton that delivers a production-ready, modular architecture with RBAC authorization and theme support. Prior to 0.31.4.0, the blacklist (ban) note parameter in UserController::ajax_blackList_post() is stored in the database without sanitization and rendered into an HTML data-note attribute without escaping. An admin with blacklist privileges can inject arbitrary JavaScript that executes in the browser of any other admin who views the user management page. This vulnerability is fixed in 0.31.4.0.