Plattform
php
Komponente
ci4-cms-erp/ci4ms
Behoben in
0.31.1
0.31.0.0
CVE-2026-34563 describes a critical cross-site scripting (XSS) vulnerability affecting CI4MS, a CodeIgniter 4-based CMS. The application fails to properly sanitize user input during backup uploads, allowing attackers to inject malicious JavaScript code via SQL functionality. This stored payload is then rendered unsafely in backup management views, leading to potential code execution. This vulnerability affects CI4MS versions less than or equal to 0.31.0.0 and is fixed in version 0.31.0.0.
CVE-2026-34563 in ci4ms ermöglicht eine persistente, blinde XSS-Attacke über die Backup-Verwaltung. Ein Angreifer kann schädlichen JavaScript-Code in den Backup-Dateinamen injizieren, indem er die unzureichende Bereinigung von Benutzereingaben ausnutzt. Die Datei xss.sql wird verwendet, um die Nutzlast einzufügen, und obwohl die XSS blind ist (nicht sofort im Browser des Benutzers ausgeführt), ermöglicht sie dem Angreifer, Benutzerinteraktionen über serverseitige Anfragen zu verfolgen, potenziell sensible Informationen zu extrahieren oder Aktionen im Namen des Benutzers auszuführen. Die CVSS-Schweregrad ist 9,1, was ein kritisches Risiko anzeigt. Betroffen sind Versionen vor 0.31.0.0. Diese Art von Angriff kann schwer zu erkennen sein, da es keine sichtbare JavaScript-Ausführung im Browser gibt.
Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine bösartige Backup-Datei (z. B. xss.sql) mit einem sorgfältig gestalteten Dateinamen hochlädt, der JavaScript-Code enthält. Dieser Code wird in der Datenbank gespeichert, und wenn der Backup-Dateiname verarbeitet wird, wird der JavaScript-Code auf dem Server ausgeführt, wodurch der Angreifer die Benutzerinteraktionen verfolgen kann. Die Ausnutzung erfordert Zugriff auf die Backup-Upload-Funktionalität der Anwendung, die möglicherweise über eine Web-Oberfläche oder API verfügbar ist. Die blinde Natur der XSS erschwert die Erkennung, da es keine direkte visuelle Anzeige der Codeausführung gibt.
Exploit-Status
EPSS
0.04% (13% Perzentil)
CISA SSVC
CVSS-Vektor
Die primäre Abhilfemaßnahme für CVE-2026-34563 ist das Upgrade von ci4ms auf Version 0.31.0.0 oder höher. Diese Version enthält eine Korrektur, die den Backup-Dateinamen ordnungsgemäß bereinigt und so die Injektion von bösartigem Code verhindert. Darüber hinaus wird die Implementierung von Content Security Policy (CSP) empfohlen, um die Auswirkungen potenzieller XSS-Angriffe zu mildern, selbst nachdem die Anwendung aktualisiert wurde. Regelmäßige Überprüfung des Quellcodes auf Injektionsschwachstellen und die Durchführung periodischer Penetrationstests sind bewährte Verfahren, um die Sicherheit der Anwendung zu gewährleisten.
Actualice CI4MS a la versión 0.31.0.0 o superior. Esta versión corrige la vulnerabilidad de Cross-Site Scripting (XSS) almacenada en la gestión de copias de seguridad, evitando la inyección de código JavaScript malicioso a través de nombres de archivos de copia de seguridad.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
Blind XSS zeigt den bösartigen Code nicht direkt im Browser des Benutzers an. Stattdessen wird der Code auf dem Server ausgeführt und verwendet, um Benutzeraktionen über serverseitige Anfragen zu verfolgen.
Version 0.31.0.0 enthält eine spezifische Korrektur für diese Schwachstelle und verhindert so die Injektion von bösartigem Code in Backup-Dateinamen.
CSP ist ein Satz von Regeln, die der Browser verwendet, um zu bestimmen, welche Ressourcen eine Webseite laden kann, wodurch XSS-Angriffe verhindert werden.
Wenn Sie eine Version vor 0.31.0.0 verwenden, sind Sie wahrscheinlich anfällig. Die Durchführung von Penetrationstests kann helfen, die Schwachstelle zu bestätigen.
Isolieren Sie das betroffene System, untersuchen Sie den Sicherheitsverstoß, aktualisieren Sie auf die neueste Version von ci4ms und erwägen Sie, eine umfassende Sicherheitsprüfung durchzuführen.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.