CVE-2026-34561

إصدارات CI4MS الأقدم من 0.31.0.0

CI4MS، وهو نظام إدارة محتوى (CMS) قائم على CodeIgniter 4، معرض لمشكلة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة ضمن قسم «إعدادات النظام – إدارة وسائل التواصل الاجتماعي». لا يقوم التطبيق بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح في حقول التكوين ”وسائل التواصل الاجتماعي“ و”رابط وسائل التواصل الاجتماعي“، مما يؤدي إلى تخزين الحمولات الخبيثة وعرضها لاحقًا دون ترميز مناسب للمخرجات. وينتج عن ذلك ثغرة XSS قائمة على DOM في نفس الصفحة، حيث تخرج الحمولة المُحقنة من سياق سمة الإدخال وتُنفَّذ فورًا في متصفح المستخدم المصادق عليه الذي يدير الإعدادات. تشمل الوظائف المتأثرة تكوين «إعدادات النظام – إدارة وسائل التواصل الاجتماعي»، وعرض حقول الإدخال التي يتحكم فيها المستخدم على نفس الصفحة، وحقن سمات DOM داخل مدخلات النماذج، وتخزين واسترجاع قيم تكوين وسائل التواصل الاجتماعي. يمكن للمهاجم حقن حمولة JavaScript ضارة في هذه الحقول، والتي يتم بعد ذلك تخزينها وإعادة عرضها دون تنقية، مما يؤدي إلى تنفيذ JavaScript تعسفي، واحتمال تصعيد الامتيازات الإدارية، واختراق الحساب أو المنصة بالكامل. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر هي /backend/settings/. المعلمات المعرضة للخطر هي Social Media وSocial Media Link.

يجب تحديث الإصدارات الأقدم من 0.31.0.0 إلى الإصدار 0.31.0.0 أو أحدث. تجنب أساليب معالجة DOM غير الآمنة مثل .html() و