CVE-2026-27599

إصدارات CI4MS الأقدم من 0.31.0.0

لا يقوم CI4MS، وهو هيكل أساسي لنظام إدارة المحتوى (CMS) قائم على CodeIgniter 4، بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح ضمن ”إعدادات النظام – إعدادات البريد“. تقبل حقول التكوين، بما في ذلك خادم البريد، ومنفذ البريد، وعنوان البريد الإلكتروني، وكلمة مرور البريد الإلكتروني، وبروتوكول البريد، وإعدادات TLS، مدخلات يتحكم فيها المهاجم يتم تخزينها على جانب الخادم وعرضها دون ترميز الإخراج المناسب. ينتج عن ذلك ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المستندة إلى DOM والمخزنة في نفس الصفحة. تسمح هذه المشكلة للمهاجم بحقن حمولة JavaScript ضارة في هذه الحقول، والتي يتم تنفيذها بعد ذلك على الفور في نفس صفحة الإعدادات ضمن سياق متصفح المستخدم المصادق عليه. تشمل الوظائف المتأثرة إعدادات النظام – إعدادات البريد وعرض حقول الإدخال التي يتحكم فيها المستخدم. تتأثر نقطة نهاية واجهة برمجة التطبيقات (API) /backend/settings/ (إعدادات البريد). تشمل المعلمات المعرضة للخطر «خادم البريد» و«منفذ البريد» و«عنوان البريد الإلكتروني» و«كلمة مرور البريد الإلكتروني» و«بروتوكول البريد» و«المجال».

يجب تحديث الإصدارات الأقدم من 0.31.0.0 إلى الإصدار 0.31.0.0 أو أحدث. قم بتطبيق الترميز الصحيح لـ HTML وتطهير المدخلات لجميع حقول التكوين. قم بفرض علامات CSP و HttpOnly و SameSite و Secure على ملفات تعريف الارتباط لتقليل خطورة هجمات XSS واحتمال تصعيد CSRF. قم بمراجعة جميع حقول إعدادات النظام الأخرى بحثًا عن ثغرات أمنية مماثلة تتعلق بحقن السمات.