CVE-2026-45270 in CI4MS
Sumário
de VulDB • 21/07/2026
CI4MS é um esqueleto de sistema de gerenciamento de conteúdo baseado no CodeIgniter 4. Antes da versão 0.31.9.0, o módulo backend `Pages` registra a regra de validação `html_purify` para o conteúdo das páginas indexado por chave de idioma, mas persiste o valor POST bruto e não purificado no banco de dados. O renderizador público para as páginas (`Home::index()` → `app/Views/templates/default/pages.php`) emite `$pageInfo->content` sem usar `esc()`, resultando em Stored XSS que é acionado para cada visitante público da página afetada — incluindo administradores. Como as páginas podem ser promovidas à página inicial do site, a carga útil pode ser servida em `/` e alcançar todos os visitantes do site. A versão 0.31.9.0 corrige o problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.