CVE-2026-45270 in CI4MS
요약
\~에 의해 VulDB • 2026. 07. 20.
CI4MS는 CodeIgniter 4 기반의 콘텐츠 관리 시스템 스켈레톤입니다. 버전 0.31.9.0 이전에서는 `Pages` 백엔드 모듈이 언어 키가 지정된 페이지 콘텐츠에 대해 `html_purify` 검증 규칙을 등록하지만, 정제되지 않은 원본 POST 값을 데이터베이스에 영구 저장합니다. 페이지의 공개 렌더러(`Home::index()` → `app/Views/templates/default/pages.php`)는 `$pageInfo->content`를 `esc()` 없이 출력하므로, 영향받는 페이지의 모든 방문자(관리자를 포함)에게 발동되는 저장형 XSS가 발생합니다. 페이지가 사이트 홈으로 승격될 수 있으므로 페이로드가 `/`에서 제공되어 사이트의 모든 방문자에게 도달할 수 있습니다. 버전 0.31.9.0은 이 문제를 패치합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.