Plataforma
php
Componente
ci4-cms-erp/ci4ms
Corregido en
0.31.1
0.31.0.0
Se ha descubierto una vulnerabilidad de XSS almacenado en el componente ci4-cms-erp/ci4ms, específicamente en la gestión de blogs. Esta falla permite a un atacante inyectar código JavaScript malicioso en el nombre de una etiqueta del blog, el cual se almacena en el servidor. La vulnerabilidad afecta a versiones hasta la 0.28.6.0 y se corrige en la versión 0.31.0.0.
Un atacante puede explotar esta vulnerabilidad para ejecutar código JavaScript arbitrario en el navegador de cualquier usuario que visite una página que muestre la etiqueta maliciosa, o en el contexto de un administrador que acceda a la interfaz administrativa. Esto podría resultar en el robo de cookies de sesión, redirecciones a sitios maliciosos, o la modificación de contenido del sitio web. La persistencia del payload significa que el ataque puede afectar a múltiples usuarios y permanecer activo hasta que se implemente una solución. La inyección de código malicioso en la interfaz administrativa podría permitir al atacante comprometer completamente el sistema.
La vulnerabilidad ha sido publicada el 2026-04-01. No se ha reportado explotación activa a la fecha. La severidad de la vulnerabilidad es CRÍTICA (CVSS 9.1), lo que indica una alta probabilidad de explotación si no se toman medidas correctivas. No se ha añadido a la lista KEV de CISA.
Organizations using ci4-cms-erp/ci4ms for their ERP and CMS needs are at risk, particularly those running versions 0.28.6.0 or earlier. Shared hosting environments where multiple websites share the same server instance are also at increased risk, as a compromised blog tag could potentially impact other websites on the same server.
• wordpress / composer / npm:
grep -r "<script" /var/www/ci4ms/application/controllers/Blog.php• generic web:
curl -I https://your-ci4ms-site.com/blog/tag/malicious<script>alert(1)</script>• generic web: Inspect the HTML source code of blog tag pages for any unexpected JavaScript code. • generic web: Review access logs for requests containing suspicious characters in the tag name parameter.
disclosure
Estado del Exploit
EPSS
0.02% (5% percentil)
CISA SSVC
Vector CVSS
La solución principal es actualizar a la versión 0.31.0.0 de ci4-cms-erp/ci4ms. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de mitigación como la validación y el saneamiento riguroso de todas las entradas de usuario relacionadas con los nombres de las etiquetas del blog. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones sospechosos de inyección de JavaScript. Monitorear los logs del servidor en busca de intentos de inyección de código y configurar alertas para detectar patrones anómalos también puede ayudar a identificar y responder a ataques.
Actualice CI4MS a la versión 0.31.0.0 o superior. Esta versión corrige la vulnerabilidad de Cross-Site Scripting (XSS) almacenado al sanitizar correctamente las entradas del usuario al crear o editar etiquetas de blog.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-34559 is a critical stored XSS vulnerability in ci4-cms-erp/ci4ms versions up to 0.28.6.0, allowing attackers to inject malicious JavaScript via blog tag names.
Yes, if you are using ci4-cms-erp/ci4ms version 0.28.6.0 or earlier, you are vulnerable to this XSS attack.
Upgrade to version 0.31.0.0 or later of ci4-cms-erp/ci4ms. As a temporary workaround, implement a WAF rule to filter suspicious tag names.
There is currently no evidence of active exploitation, but the vulnerability's criticality warrants immediate attention and mitigation.
Refer to the official ci4-cms-erp project repository or website for the latest security advisories and updates related to CVE-2026-34559.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.