CVE-2026-35035

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

إصدارات CI4MS الأقدم من 0.31.2.0

الوصف

CI4MS، وهو هيكل أساسي لنظام إدارة المحتوى (CMS) قائم على CodeIgniter 4، معرض لمشكلة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة. لا يقوم التطبيق بتنقية المدخلات التي يتحكم فيها المستخدم بشكل صحيح ضمن قسم «إعدادات النظام – معلومات الشركة». تقبل العديد من حقول التكوين الإدارية، بما في ذلك «اسم الشركة»، و«الشعار»، و«رقم هاتف الشركة»، و«رقم الهاتف المحمول للشركة»، و«البريد الإلكتروني للشركة»، ورابط iframe لخرائط Google، و«شعار الشركة»، المدخلات التي يتحكم فيها المهاجم والتي يتم تخزينها على جانب الخادم وعرضها بطريقة غير آمنة على الصفحات الموجهة للجمهور. تؤثر هذه الثغرة الأمنية على الواجهة الأمامية العامة ولا تؤثر على لوحة التحكم الإدارية. تشمل الوظائف المتأثرة تكوين «إعدادات النظام – معلومات الشركة» وعرض الصفحات الموجهة للجمهور. يمكن للمهاجم حقن حمولة JavaScript ضارة في هذه الحقول، والتي يتم بعد ذلك تخزينها وتنفيذها على الصفحات الموجهة للجمهور، مما قد يؤدي إلى الاستيلاء على الحساب واختراق المنصة بأكملها. تشمل نقاط نهاية واجهة برمجة التطبيقات (API) /backend/settings/ (للحقن) والصفحة الرئيسية (للتنفيذ).

التوصيات

قم بالتحديث إلى الإصدار 0.31.2.0 أو أحدث لحل المشكلة.