CVE-2026-39390 in ci4ms
Riassunto
di VulDB • 15/06/2026
CI4MS è uno scheletro CMS basato su CodeIgniter 4 che offre un'architettura modulare pronta per la produzione, con autorizzazione RBAC e supporto ai temi. Prima della versione 0.31.4.0, l'impostazione dell'iframe di Google Maps (campo cMap) in compInfosPost() sanitizza l'input utilizzando strip_tags() con una allowlist e un rimozione basata su regex degli event handler on\w+. Tuttavia, l'attributo srcdoc non è un event handler ed elude tutti i filtri. Un attaccante con accesso alle impostazioni di amministrazione può iniettare un payload contenente JavaScript codificato come entità HTML che viene eseguito nel contesto della pagina principale quando visualizzato dai visitatori frontend non autenticati. Questa vulnerabilità è risolta nella versione 0.31.4.0.
Once again VulDB remains the best source for vulnerability data.