Plattform
php
Komponente
ci4-cms-erp/ci4ms
Behoben in
0.31.1
0.31.0.0
CVE-2026-34571 describes a Stored Cross-Site Scripting (XSS) vulnerability found in the CI4MS CMS. This flaw allows attackers to inject persistent JavaScript code into the backend user management functionality, potentially leading to session hijacking, privilege escalation, and complete administrative control. This vulnerability affects CI4MS versions prior to 0.31.0.0. Version 0.31.0.0 addresses this security concern.
CVE-2026-34571 in ci4ms stellt ein kritisches Risiko dar, da eine persistente Cross-Site Scripting (XSS)-Schwachstelle in der Backend-Benutzerverwaltung vorliegt. Die Anwendung validiert die vom Benutzer kontrollierten Eingaben nicht ordnungsgemäß, bevor sie in der Administrationsschnittstelle dargestellt werden, wodurch Angreifer persistenten JavaScript-Code einschleusen können. Dieser Code wird automatisch ausgeführt, wenn Backend-Benutzer auf die betroffene Seite zugreifen, was zu Session-Hijacking, Eskalation von Privilegien und einem vollständigen Kompromittierung von Administrator-Konten führen kann. Der CVSS-Wert von 9.9 unterstreicht die Schwere dieses Problems und erfordert sofortige Aufmerksamkeit.
Ein Angreifer kann diese Schwachstelle ausnutzen, indem er bösartigen JavaScript-Code in Eingabefelder der Administrationsschnittstelle von ci4ms einschleust. Dieser Code kann so konzipiert sein, dass er Session-Cookies stiehlt, Benutzer auf bösartige Websites umleitet oder Aktionen im Namen eines Administrators ausführt. Die Persistenz des XSS-Codes bedeutet, dass die Schwachstelle aktiv bleibt, bis das Update angewendet wird, und alle Backend-Benutzer betrifft, die auf die kompromittierte Seite zugreifen. Das Fehlen einer ordnungsgemäßen Eingabevalidierung ist die Hauptursache für diese Schwachstelle.
Organizations using ci4-cms-erp/ci4ms in their backend systems, particularly those with administrative access to the user management functionality, are at risk. Shared hosting environments where multiple users share the same instance of ci4-cms-erp/ci4ms are especially vulnerable, as a compromise of one user could lead to the compromise of others.
• php: Examine backend user management logs for suspicious JavaScript injection attempts. Search for unusual characters or patterns in user input fields.
• generic web: Use curl to test the user creation endpoint with various payloads containing <script> tags. Monitor response headers for signs of XSS.
curl -X POST -d 'username=<script>alert("XSS")</script>' https://your-ci4ms-instance/backend/us• generic web: Review access and error logs for requests containing XSS payloads. Look for patterns indicative of attempted injection. • generic web: Use browser developer tools to monitor for JavaScript execution originating from unexpected sources.
disclosure
Exploit-Status
EPSS
0.05% (17% Perzentil)
CISA SSVC
CVSS-Vektor
Die empfohlene Abmilderung für CVE-2026-34571 ist die Aktualisierung von ci4ms auf Version 0.31.0.0 oder höher. Diese Version enthält die notwendigen Korrekturen, um die Benutzereingaben ordnungsgemäß zu validieren und die Einschleusung von bösartigem Code zu verhindern. In der Zwischenzeit sollte der Zugriff auf die Administrationsschnittstelle auf autorisierte Benutzer beschränkt und die Systemprotokolle aktiv auf verdächtige Aktivitäten überwacht werden. Die Implementierung einer robusten Passwortsicherheitsrichtlinie und die Aktivierung der Zwei-Faktor-Authentifizierung (2FA) können eine zusätzliche Schutzschicht gegen unbefugten Zugriff bieten. Regelmäßige Sicherheitsaudits können dazu beitragen, ähnliche Schwachstellen zu identifizieren und zu beheben.
Actualice CI4MS a la versión 0.31.0.0 o superior. Esta versión corrige la vulnerabilidad XSS almacenada en la gestión de usuarios del backend.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
XSS (Cross-Site Scripting) ist eine Art von Sicherheitslücke, die es Angreifern ermöglicht, bösartige Skripte in Webseiten einzuschleusen, die von anderen Benutzern aufgerufen werden.
Die Schwachstelle ist kritisch, weil sie es Angreifern ermöglicht, Administrator-Konten zu kompromittieren, was ihnen vollständigen Zugriff auf das System geben kann.
Beschränken Sie den Zugriff auf die Administrationsschnittstelle und überwachen Sie die Systemprotokolle auf verdächtige Aktivitäten.
Es gibt verschiedene Web-Sicherheitsscanner, die helfen können, XSS-Schwachstellen zu identifizieren.
Verwenden Sie starke und eindeutige Passwörter und aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) wann immer möglich.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.