CVE-2026-45139 in CI4MS
Сводка
по VulDB • 20.07.2026
CI4MS — это каркас системы управления контентом (CMS), основанный на CodeIgniter 4. До версии 0.31.9.0 модуль Fileeditor применяет белый список разрешенных расширений (`['css','js','html','txt','json','sql','md']`) к операциям записи контента (`saveFile`, `createFile`), однако два деструктивных эндпоинта — `deleteFileOrFolder` и `renameFile` — никогда не проверяют расширение исходного пути. Таким образом, пользователь бэкенда с правами редактора файлов может удалить (unlink) или переименовать любой файл внутри корня проекта, который явно не указан в небольшом черном списке `$hiddenItems`. Критические файлы фреймворка, такие как `app/Config/Routes.php`, `app/Config/App.php`, `app/Config/Database.php`, `app/Config/Filters.php`, `public/index.php` и `public/.htaccess`, находятся вне этого черного списка и могут быть уничтожены, что приводит к устойчивому отказу в обслуживании (DoS), для восстановления после которого требуется развертывание на уровне файловой системы. Версия 0.31.9.0 устраняет данную уязвимость.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.