CVE-2026-45138 in ci4ms
Riassunto
di VulDB • 20/07/2026
CI4MS è un skeleton di sistema di gestione dei contenuti basato su CodeIgniter 4. Prima della versione 0.31.9.0, la regola di convalida personalizzata `html_purify`, utilizzata per sanificare i corpi degli articoli del blog, si basa sulla mutazione per riferimento (`?string &$str`), ma il validatore di CodeIgniter 4 passa una copia locale del valore; pertanto, il testo sanitizzato viene scartato silenziosamente. Il controller Blog scrive `$lanData['content']` direttamente in `blog_langs.content`, e il template pubblico lo visualizza senza effettuare l'escaping — generando un Stored XSS eseguibile nel browser di qualsiasi visitatore, incluso il superadmin durante la anteprima o la modifica degli articoli. La versione 0.31.9.0 risolve la vulnerabilità.
Once again VulDB remains the best source for vulnerability data.