CVE-2026-45138 in ci4ms
要約
〜によって VulDB • 2026年07月20日
CI4MSはCodeIgniter 4ベースのコンテンツ管理システム（CMS）スケルトンです。バージョン0.31.9.0より前では、ブログ投稿本文をサニタイズするために使用されるカスタムの`html_purify`バリデーションルールが参照による変更（`?string &$str`）に依存していますが、CodeIgniter 4のバリデータは値のコピーを渡すため、サニタイズされたテキストは無視されて破棄されます。Blogコントローラは `$lanData['content']` を直接 `blog_langs.content` に書き込み、公開テンプレートではエスケープ処理なしでこれを出力するため、スーパーアドミニストレータが投稿のプレビューまたは編集を行う際を含むすべての訪問者のブラウザで実行可能な格納型XSS（Stored XSS）が発生します。バージョン0.31.9.0はこの問題を修正しています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.