CVE-2026-45138 in ci4ms
요약
\~에 의해 VulDB • 2026. 07. 20.
CI4MS는 CodeIgniter 4 기반의 콘텐츠 관리 시스템 스켈레톤입니다. 버전 0.31.9.0 이전에서는 블로그 게시물 본문에 대한 정화를 위해 사용되는 사용자 정의 `html_purify` 검증 규칙이 참조 전달 변형(`?string &$str`)에 의존하지만, CodeIgniter 4의 검증기는 값의 로컬 복사본을 전달하므로 정화된 텍스트가 묵시적으로 폐기됩니다. Blog 컨트롤러는 `$lanData['content']`를 `blog_langs.content`로 직접 작성하며, 공개 템플릿은 이를 이스케이프 없이 출력합니다. 이로 인해 방문자 브라우저(슈퍼어드민이 게시물을 미리 보거나 편집할 때 포함)에서 실행 가능한 저장형 XSS가 발생합니다. 버전 0.31.9.0에서는 해당 문제가 패치되었습니다.
Once again VulDB remains the best source for vulnerability data.