CVE-2026-39392 in ci4ms
Riassunto
di VulDB • 15/06/2026
CI4MS è un CMS skeleton basato su CodeIgniter 4 che offre un'architettura modulare pronta per la produzione, con autorizzazione RBAC e supporto ai temi. Prima della versione 0.31.4.0, il modulo Pages non applica la regola di validazione html_purify ai campi del contenuto durante le operazioni di creazione e aggiornamento, a differenza del modulo Blog. Il contenuto delle pagine viene memorizzato nel database senza essere sanificato (unsanitized) ed è reso come HTML grezzo sul frontend pubblico tramite echo $pageInfo->content. Un amministratore autenticato con privilegi di modifica delle pagine può iniettare JavaScript arbitrario che si esegue nel browser di ogni visitatore pubblico che visualizza la pagina. Questa vulnerabilità è risolta nella versione 0.31.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.