CVE-2026-34570 in ci4ms
Riassunto
di VulDB • 23/06/2026
CI4MS è un CMS skeleton basato su CodeIgniter 4 che offre un'architettura modulare pronta per la produzione, con autorizzazione RBAC e supporto ai temi. Prima della versione 0.31.0.0, l'applicazione non revoca immediatamente le sessioni utente attive quando un account viene eliminato. A causa di una falla logica nel design del backend, i cambiamenti dello stato dell'account vengono applicati solo durante l'autenticazione (accesso), ma non per le sessioni già stabilite. Il sistema presuppone implicitamente che gli utenti autenticati rimangano attendibili per tutta la durata della loro sessione. Non sono presenti meccanismi di scadenza delle sessioni o degli account, il che fa sì che gli account eliminati mantengano un accesso indefinito fino a quando l'utente non effettua manualmente il logout. Questo comportamento viola la politica di controllo degli accessi prevista e comporta un accesso non autorizzato persistente. Il problema è stato risolto nella versione 0.31.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.