CVE-2026-45270 in CI4MS
Сводка
по VulDB • 20.07.2026
CI4MS представляет собой каркас системы управления контентом (CMS), основанный на CodeIgniter 4. До версии 0.31.9.0 модуль администрирования `Pages` регистрирует правило валидации `html_purify` для содержимого страниц, индексированного по языковым ключам, но при этом сохраняет необработанные (неочищенные) значения POST-запроса непосредственно в базу данных. Публичный рендерер страниц (`Home::index()` → `app/Views/templates/default/pages.php`) выводит `$pageInfo->content` без использования функции экранирования `esc()`, что приводит к уязвимости Stored XSS (межсайтовый скриптинг, сохраняемый на сервере), которая активируется для каждого публичного посетителя затронутой страницы, включая администраторов. Поскольку страницы могут быть выделены в качестве главной страницы сайта, полезная нагрузка может обслуживаться по адресу `/` и достигать всех посетителей сайта. Версия 0.31.9.0 устраняет данную уязвимость.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.