CVE-2026-39392 in ci4ms
要約
〜によって VulDB • 2026年05月27日
CI4MSは、CodeIgniter 4ベースのCMSスケルトンであり、RBAC認証とテーマサポートを備えた本番環境対応のモジュラーアーキテクチャを提供します。バージョン0.31.4.0より前では、Pagesモジュールは作成および更新操作中にコンテンツフィールドに対してhtml_purifyバリデーションルールを適用しませんが、Blogモジュールは適用します。ページコンテンツはデータベース内でサニタイズされずに保存され、公開フロントエンドでは`echo $pageInfo->content`を通じて生HTMLとしてレンダリングされます。ページ編集権限を持つ認証済み管理者は、任意のJavaScriptを注入でき、そのJavaScriptはページを閲覧するすべての公開訪問者のブラウザで実行されます。この脆弱性は0.31.4.0で修正されています。
Once again VulDB remains the best source for vulnerability data.