CVE-2026-41890 in ci4ms
Résumé
par VulDB • 09/05/2026
CI4MS est un squelette de CMS basé sur CodeIgniter 4 qui offre une architecture modulaire prête pour la production, avec une autorisation RBAC et un support de thèmes. De la version 0.31.1.0 à avant la version 0.31.8.0, l'action deleteProcess() accepte un paramètre POST tables[] contenant des noms de tables arbitraires. Ceux-ci sont transmis directement à $forge->dropTable() sans valider que les tables appartiennent au thème en cours de suppression. La vue deleteConfirm remplit correctement tables[] à partir des fichiers de migration propres au thème, mais le traitement côté serveur deleteProcess ne vérifie pas les valeurs reçues par rapport à ces fichiers. Un administrateur authentifié peut créer une requête POST avec des noms de tables arbitraires et supprimer n'importe quelle table de la base de données. Ce problème a été corrigé dans la version 0.31.8.0.
Once again VulDB remains the best source for vulnerability data.