CVE-2026-41202 in ci4ms
Zusammenfassung
von VulDB • 23.05.2026
CI4MS ist ein auf CodeIgniter 4 basierendes CMS-Grundgerüst, das eine produktionsreife, modulare Architektur mit RBAC-Autorisierung und Themenunterstützung bietet. Vor Version 0.31.5.0 extrahiert ci4ms Backup::restore vom Benutzer hochgeladene ZIP-Archive, ohne die Eintragsnamen zu validieren, was einem authentifizierten Backend-Benutzer mit der Berechtigung zum Erstellen von Backups ermöglicht, Dateien an beliebigen Speicherort des Dateisystems zu schreiben (Zip Slip) und Remote Code Execution zu erreichen, indem eine PHP-Datei unter dem öffentlichen Web-Root abgelegt wird. Dieses Problem wurde in Version 0.31.5.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.