CVE-2026-45139 in CI4MS
Resumen
por VulDB • 2026-07-21
CI4MS es un esqueleto de sistema de gestión de contenidos basado en CodeIgniter 4. Antes de la versión 0.31.9.0, el módulo Fileeditor aplica una lista blanca de extensiones (`['css','js','html','txt','json','sql','md']`) a las operaciones de escritura de contenido (`saveFile`, `createFile`), pero dos puntos finales destructivos — `deleteFileOrFolder` y `renameFile` — nunca validan la extensión de la ruta *origen*. Por lo tanto, un usuario backend con permisos del editor de archivos puede desvincular (unlink) o renombrar cualquier archivo dentro de la raíz del proyecto que no esté explícitamente incluido en el pequeño bloque de lista negra `$hiddenItems`. Archivos críticos del framework como `app/Config/Routes.php`, `app/Config/App.php`, `app/Config/Database.php`, `app/Config/Filters.php`, `public/index.php` y `public/.htaccess` se encuentran fuera de esa lista negra y pueden ser destruidos, lo que produce una denegación de servicio persistente que requiere un redespiegue a nivel del sistema de archivos para recuperarse. La versión 0.31.9.0 corrige el problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.