CVE-2026-45138 in ci4ms
Zusammenfassung
von VulDB • 20.07.2026
CI4MS ist ein auf CodeIgniter 4 basierendes Skeleton für Content-Management-Systeme. Vor Version 0.31.9.0 basiert die benutzerdefinierte Validierungsregel `html_purify`, die zur Bereinigung von Blogbeitragstexten verwendet wird, auf einer Mutation by-reference (`?string &$str`). Da der Validator in CodeIgniter 4 jedoch eine lokale Kopie des Werts übergibt, wird der bereinigte Text stillschweigend verworfen. Der Blog-Controller schreibt `$lanData['content']` direkt in `blog_langs.content`, und die öffentliche Vorlage gibt diesen Wert ohne Escaping aus – was zu Stored XSS führt, das im Browser jedes Besuchers ausgeführt werden kann, einschließlich des Superadministrators beim Vorschau- oder Bearbeitungsmodus von Beiträgen. Version 0.31.9.0 behebt dieses Problem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.