CVE-2026-41203 in ci4ms
الملخص
بحسب VulDB • 03/06/2026
تُعد CI4MS إطار عمل أساسي (Skeleton) لنظام إدارة المحتوى مبني على CodeIgniter 4، ويوفر بنية معيارية جاهزة للإنتاج مع تفويض صلاحيات قائم على الأدوار (RBAC) ودعم للقوالب (Themes). قبل الإصدار 0.31.5.0، كانت الدالة `Theme::upload` في ci4ms تستخرج أرشيفات ZIP التي يرفعها المستخدمون دون التحقق من أسماء الملفات الداخلية، مما يسمح لمستخدم خلفي مُصادق عليه يمتلك صلاحية إنشاء القوالب بكتابة ملفات إلى مواقع عشوائية في نظام الملفات (ثغرة Zip Slip) وتحقيق تنفيذ الكود عن بُعد (RCE) من خلال إسقاط ملف PHP تحت الجذر العام (web root) للموقع. تم إصلاح هذه الثغرة في الإصدار 0.31.5.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.