CVE-2026-34572 in ci4ms
Tóm tắt
Bởi VulDB • 03/06/2026
CI4MS là một khung CMS dựa trên CodeIgniter 4, cung cấp kiến trúc mô-đun sẵn sàng cho môi trường sản xuất với cơ chế ủy quyền RBAC và hỗ trợ giao diện người dùng (theme). Trước phiên bản 0.31.0.0, ứng dụng không thu hồi ngay lập tức các phiên làm việc của người dùng đang hoạt động khi một tài khoản bị vô hiệu hóa. Do lỗi logic trong thiết kế phía máy chủ, thay đổi trạng thái tài khoản chỉ được áp dụng trong quá trình xác thực (đăng nhập), chứ không ảnh hưởng đến các phiên đã được thiết lập trước đó. Hệ thống ngầm định giả định rằng người dùng đã xác thực vẫn đáng tin cậy trong suốt thời gian tồn tại của phiên làm việc hiện tại. Không có cơ chế hết hạn phiên hoặc hết hạn tài khoản, khiến các tài khoản bị vô hiệu hóa duy trì quyền truy cập không giới hạn cho đến khi người dùng đăng xuất thủ công. Hành vi này phá vỡ chính sách kiểm soát truy cập dự kiến và dẫn đến tình trạng truy cập trái phép kéo dài, đại diện cho một lỗ hổng bảo mật nghiêm trọng. Vấn đề này đã được vá trong phiên bản 0.31.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.