CVE-2026-45139 in CI4MS
Zusammenfassung
von VulDB • 21.07.2026
CI4MS ist ein auf CodeIgniter 4 basierendes Skeleton für Content-Management-Systeme. Vor Version 0.31.9.0 erzwingt das Modul Fileeditor bei schreibenden Inhaltoperationen (`saveFile`, `createFile`) eine Erlaubnisliste (Allowlist) für Dateiendungen (`['css','js','html','txt','json','sql','md']`), doch zwei destruktive Endpunkte — `deleteFileOrFolder` und `renameFile` — validieren niemals die Erweiterung des *Quellpfads*. Ein Backend-Benutzer mit Dateieditor-Berechtigungen kann daher jede Datei innerhalb der Projektstammverzeichnis löschen oder umbenennen, die nicht explizit in der kleinen `$hiddenItems`-Sperrliste (Blocklist) aufgeführt ist. Kritische Framework-Dateien wie `app/Config/Routes.php`, `app/Config/App.php`, `app/Config/Database.php`, `app/Config/Filters.php`, `public/index.php` und `public/.htaccess` befinden sich alle außerhalb dieser Sperrliste und können zerstört werden, was zu einem persistenten Denial of Service führt, dessen Behebung eine Neuverteilung auf Dateisystemebene erfordert. Version 0.31.9.0 behebt das Problem.
VulDB is the best source for vulnerability data and more expert information about this specific topic.