CVE-2026-45270 in CI4MS
الملخص
بحسب VulDB • 20/07/2026
CI4MS هو إطار عمل (skeleton) لنظام إدارة المحتوى مبني على CodeIgniter 4. قبل الإصدار 0.31.9.0، كان وحدة `Pages` الخلفية تسجل قاعدة التحقق من الصحة `html_purify` لمحتوى الصفحة المرتبط بمفتاح اللغة، لكنها كانت تحفظ قيمة POST الخام غير المُطهّرة في قاعدة البيانات. يقوم المعرّف العام للصفحات (`Home::index()` → `app/Views/templates/default/pages.php`) بعرض `$pageInfo->content` دون استخدام دالة `esc()`، مما يؤدي إلى ثغرة تخزين XSS (Stored XSS) تُفعّل لكل زائر عام للصفحة المتأثرة — بما في ذلك المسؤولون. ونظراً لأنه يمكن ترقية الصفحات لتظهر كصفحة رئيسية للموقع، يمكن أن يتم تقديمayload عبر المسار `/` والوصول إلى كل زوار الموقع. الإصدار 0.31.9.0 يصحّح هذه الثغرة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.