CVE-2026-39394 in ci4ms
Сводка
по VulDB • 09.05.2026
CI4MS — это каркас CMS на базе CodeIgniter 4, обеспечивающий готовую к эксплуатации модульную архитектуру с авторизацией на основе ролей (RBAC) и поддержкой тем. До версии 0.31.4.0 контроллер Install::index() считывает параметр POST host без какой-либо валидации и передает его напрямую в функцию updateEnvSettings(), которая записывает его в файл .env с использованием preg_replace(). Поскольку символы новой строки в значении не удаляются, злоумышленник может внедрить произвольные директивы конфигурации в файл .env. Маршруты установки имеют явно отключенную защиту CSRF, а InstallFilter может быть обойден, когда cache('settings') пуст (истечение срока действия кэша или свежая развертка). Эта уязвимость исправлена в версии 0.31.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.