CVE-2026-41587

Wysokie

Opublikowano: 07/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W CI4MS, od wersji 0.26.0.0 do przed wersją 0.31.7.0, funkcja przesyłania motywów pozwala na zdalne wykonanie kodu (RCE) przez uwierzytelnionych użytkowników backendu z odpowiednimi uprawnieniami. Użytkownicy mogą przesyłać spreparowane pliki ZIP, które są instalowane w publicznie dostępnym katalogu bez filtracji rozszerzeń lub treści.

Ocena ryzyka

Organizacja narażona jest na poważne ryzyko zdalnego wykonania kodu, co może prowadzić do przejęcia kontroli nad systemem i wycieku danych. Wykorzystanie tej podatności może skutkować poważnymi konsekwencjami dla bezpieczeństwa i integralności systemu.

Rekomendacja

Zaleca się aktualizację do wersji 0.31.7.0 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wprowadzić dodatkowe kontrole bezpieczeństwa dotyczące przesyłania plików.

Inne podatności w CI4MS (CodeIgniter 4-based CMS)

CVE-2026-41201Krytyczne
W wersji 0.31.4.0 CI4MS, oparty na CodeIgniter 4, zawiera podatność na pełne przejęcie konta oraz eskalację uprawnień poprzez przechowywane DOM XSS w polu nazwy pliku modułu kopii zapasowej. Atakujący może manipulować tym polem za pomocą pliku SQL, wprowadzając ukryty ładunek XSS.

Oryginalny opis (angielski, źródło NVD)

CI4MS is a CodeIgniter 4-based CMS skeleton that delivers a production-ready, modular architecture with RBAC authorization and theme support. From version 0.26.0.0 to before version 0.31.7.0, a theme upload feature allows any authenticated backend user with theme-upload permission to achieve remote code execution (RCE) by uploading a crafted ZIP file. PHP files inside the ZIP are installed into the web-accessible public/ directory with no extension or content filtering, making them directly executable via HTTP. This issue has been patched in version 0.31.7.0.