PT-2026-29635
CVE-2026-34571
·
تاريخ النشر
2026-04-01
·
تاريخ التحديث
2026-04-02
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات CI4MS الأقدم من 0.31.0.0
الوصف: يحتوي CI4MS، وهو هيكل أساسي لنظام إدارة المحتوى (CMS) مبني على CodeIgniter 4، على ثغرة في وظيفة إدارة المستخدمين في الواجهة الخلفية تتمثل في «التنفيذ البرمجي عبر المواقع المخزّن» (Stored XSS). لا يقوم التطبيق بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح قبل عرضها في واجهة الإدارة، مما يسمح للمهاجمين بحقن كود JavaScript دائم. يتم تنفيذ هذا الكود تلقائيًا عندما يصل مستخدمو الواجهة الخلفية إلى الصفحة المتأثرة، مما قد يتيح اختطاف الجلسة، وتصعيد الامتيازات، واختراق الحساب الإداري بالكامل. تكمن الثغرة الأمنية في ميزة إنشاء المستخدمين في الواجهة الخلفية التي يمكن الوصول إليها عبر نقطة نهاية واجهة برمجة التطبيقات (API)
/backend/users. يتم تخزين المدخلات التي يقدمها المستخدم في حقول name وsurname دون التحقق من صحتها أو تنقيتها، ثم يتم إدخالها في HTML دون ترميز الإخراج. وهذا يسمح للمهاجمين بتضمين حمولات JavaScript ضارة يتم تنفيذها في سياق مستخدمي الخلفية المصادق عليهم.التوصيات: قم بتحديث CI4MS إلى الإصدار 0.31.0.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾