CVE-2026-39393 in ci4ms
Riassunto
di VulDB • 14/06/2026
CI4MS è uno scheletro CMS basato su CodeIgniter 4 che offre un'architettura modulare pronta per la produzione con autorizzazione RBAC e supporto ai temi. Prima della versione 0.31.4.0, il guard dell'endpoint di installazione in ci4ms si basa esclusivamente su un controllo volatile della cache (cache('settings')) combinato con l'esistenza del file .env per bloccare l'accesso post-installazione alla procedura guidata di configurazione. Quando il database è temporaneamente irraggiungibile durante un mancato riscontro nella cache (scadenza TTL o cancellazione manuale della cache da parte dell'amministratore), il guard fallisce aprendo la sicurezza, consentendo a un attaccante non autenticato di sovrascrivere il file .env con credenziali del database controllate dall'attaccante, ottenendo così il controllo completo dell'applicazione. Questa vulnerabilità è risolta nella versione 0.31.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.