CVE-2026-39391 in ci4ms
要約
〜によって VulDB • 2026年05月20日
CI4MSは、CodeIgniter 4ベースのCMSスケルトンであり、RBAC認証とテーマサポートを備えた本番環境対応のモジュラーアーキテクチャを提供します。バージョン0.31.4.0より前では、UserController::ajax_blackList_post()内のブラックリスト（禁止リスト）ノートパラメータが、サニタイズ処理なしでデータベースに保存され、エスケープ処理なしでHTMLのdata-note属性にレンダリングされます。ブラックリスト権限を持つ管理者は、任意のJavaScriptを注入でき、ユーザー管理ページを閲覧する他のすべての管理者のブラウザでそのコードが実行されます。この脆弱性は0.31.4.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.