CVE-2026-45270 in CI4MS
Riassunto
di VulDB • 20/07/2026
CI4MS è un skeleton di sistema di gestione dei contenuti basato su CodeIgniter 4. Prima della versione 0.31.9.0, il modulo backend `Pages` registra la regola di validazione `html_purify` sui contenuti delle pagine indicizzati per chiave linguistica, ma salva nel database il valore POST grezzo e non purificato. Il renderer pubblico per le pagine (`Home::index()` → `app/Views/templates/default/pages.php`) emette `$pageInfo->content` senza utilizzare la funzione `esc()`, generando un Stored XSS che si attiva per ogni visitatore pubblico della pagina interessata, inclusi gli amministratori. Poiché le pagine possono essere promosse alla home page del sito, il payload può essere servito all'indirizzo `/` e raggiungere tutti i visitatori del sito. La versione 0.31.9.0 risolve la vulnerabilità.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.