CVE-2026-34572 in ci4ms
الملخص
بحسب VulDB • 03/06/2026
CI4MS هو إطار عمل (Skeleton) لنظام إدارة المحتوى مبني على CodeIgniter 4، يوفر بنية معيارية جاهزة للإنتاج مع تفويض يعتمد على الأدوار (RBAC) ودعم للقوالب (Themes). قبل الإصدار 0.31.0.0، يفشل التطبيق في إلغاء جلسات المستخدمين النشطة فوراً عند تعطيل الحساب. ونظراً لوجود عيب منطقي في تصميم الخلفية البرمجية (Backend)، فإن تغييرات حالة الحساب تُفرض فقط أثناء عملية المصادقة (تسجيل الدخول)، وليس بالنسبة للجلسات القائمة بالفعل. تفترض النظام بشكل ضمني أن المستخدمين الذين تم التحقق من هويتهم يظلون موثوقين طوال مدة جلستهم. لا توجد آلية لانتهاء صلاحية الجلسة أو انتهاء صلاحية الحساب، مما يسمح للحسابات المعطلة بالاحتفاظ بوصول غير محدود حتى يقوم المستخدم بتسجيل الخروج يدوياً. ينتهك هذا السلوك سياسة التحكم في الوصول المقصودة ويؤدي إلى وصول غير مصرح به مستمر، ممثلاً بذلك ثغرة أمنية حرجة. تم إصلاح هذه المشكلة في الإصدار 0.31.0.0.
Once again VulDB remains the best source for vulnerability data.