CVE-2026-34566

إصدارات CI4MS الأقدم من 0.31.0.0

CI4MS، وهو نظام إدارة محتوى (CMS) قائم على CodeIgniter 4، معرض لخطر الهجمات النصية عبر المواقع (XSS) المستندة إلى DOM والمخزنة، وذلك من خلال وظيفة «إدارة الصفحات». لا يقوم التطبيق بتنقية المدخلات التي يتحكم فيها المستخدم في حقول متعددة بشكل صحيح أثناء إنشاء الصفحة أو تحريرها. يتم تخزين هذه القيم غير المنقاة على جانب الخادم وعرضها دون ترميز الإخراج في قوائم الصفحات الإدارية وعروض الصفحات الموجهة للجمهور، مما يتيح تنفيذ حمولات JavaScript الخبيثة. تشمل الحقول المتأثرة العنوان (Title)، وعنوان URL، والمحتوى (Content)، وصورة الغلاف (Cover Image)، وعنوان URL للصورة (Image URL)، وعرض الصورة (Image Width)، وارتفاع الصورة (Image Height)، ووصف تحسين محركات البحث (SEO Description)، وكلمات البحث لتحسين محركات البحث (SEO Keywords). يمكن للمهاجم حقن حمولة في هذه الحقول، والتي سيتم تنفيذها بعد ذلك في متصفحات المسؤولين والمستخدمين المصادق عليهم والزوار. نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة هي /backend/pages/create، وعرض إدارة قائمة الصفحات، وعروض الصفحات الموجهة للجمهور.

يجب تحديث الإصدارات الأقدم من 0.31.0.0 إلى الإصدار 0.31.0.0 أو أحدث. تجنب استخدام طرق معالجة DOM غير آمنة مثل .html() أو innerHTML. قم بتطبيق ترميز كيانات HTML على جميع البيانات التي يتحكم فيها المستخدم قبل عرضها في المتصفح. قم بتطبيق عملية تنقية المدخلات لتنقية جميع المدخلات التي يقدمها المستخدم بشكل صحيح. قم بفرض رؤوس الأمان وسمات ملفات تعريف الارتباط، بما في ذلك سياسة أمان المحتوى (CSP)، وعلامة HttpOnly، وسمة SameSite، وعلامة Secure.