Plataforma
php
Componente
ci4-cms-erp/ci4ms
Corregido en
0.31.3
0.31.2.0
CVE-2026-35035 es una vulnerabilidad de Cross-Site Scripting (XSS) de tipo DOM ciego almacenado que afecta a la versión 0.31.1.0 y anteriores de ci4-cms-erp/ci4ms. Esta vulnerabilidad permite a un atacante lograr la toma de control total de la cuenta y la escalada de privilegios. La vulnerabilidad se encuentra en la sección de Información de la Empresa en la configuración del sistema, accesible desde páginas de destino públicas. Una actualización a la versión 0.31.2.0 soluciona esta vulnerabilidad.
La explotación exitosa de CVE-2026-35035 permite a un atacante inyectar código JavaScript malicioso en la aplicación ci4-cms-erp/ci4ms. Dado que la vulnerabilidad es de tipo XSS ciego almacenado, el atacante puede manipular la información de la empresa para que, al ser visualizada por otros usuarios, ejecute el código malicioso. Esto puede resultar en la toma de control completa de la cuenta del usuario afectado, permitiendo al atacante realizar acciones en nombre de ese usuario, como modificar datos, acceder a información confidencial o incluso comprometer el sistema completo. La severidad crítica de la vulnerabilidad se debe a la posibilidad de escalada de privilegios y la facilidad con la que un atacante puede explotarla.
CVE-2026-35035 fue publicado el 6 de abril de 2026. Actualmente no se dispone de información sobre explotación activa en la naturaleza. La vulnerabilidad se considera de alta probabilidad de ser explotada debido a su severidad y la relativa facilidad de explotación de las vulnerabilidades XSS. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar cualquier actividad maliciosa relacionada con esta vulnerabilidad.
Organizations using ci4-cms-erp/ci4ms in production environments, particularly those with public-facing landing pages and inadequate input validation, are at significant risk. Shared hosting environments where multiple users share the same instance of ci4-cms-erp/ci4ms are also particularly vulnerable, as a compromise of one user account could potentially lead to the compromise of the entire system.
• php: Examine application logs for suspicious JavaScript code being stored in the System Settings Company Information section. Use grep to search for <script> tags or other XSS payload indicators within the database entries associated with this section.
grep -r '<script' /path/to/database/files• generic web: Monitor access logs for requests containing unusual or obfuscated JavaScript code in the Company Information field. Use curl to test the affected endpoint with a simple XSS payload and observe the response.
curl -X POST -d "Company Information=<script>alert('XSS')</script>" https://your-ci4ms-instance/system-settings/company-informationdisclosure
Estado del Exploit
EPSS
0.10% (26% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2026-35035 es actualizar a la versión 0.31.2.0 de ci4-cms-erp/ci4ms, que incluye la corrección de la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Implementar un Web Application Firewall (WAF) con reglas para detectar y bloquear payloads XSS comunes puede ayudar a mitigar el riesgo. Además, revisar y endurecer la configuración de la aplicación, restringiendo el acceso a la sección de Información de la Empresa a usuarios autorizados, puede reducir la superficie de ataque. Monitorear los logs de la aplicación en busca de patrones sospechosos de inyección de código también es crucial.
Actualice a la versión 0.31.2 o superior para corregir la vulnerabilidad. Esta versión implementa una sanitización adecuada de la entrada del usuario en la configuración del sistema, evitando el almacenamiento y la renderización insegura de datos en las páginas públicas.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-35035 is a critical Stored DOM Blind XSS vulnerability in ci4-cms-erp/ci4ms versions up to 0.31.1.0, allowing attackers to achieve full account takeover.
You are affected if you are using ci4-cms-erp/ci4ms version 0.31.1.0 or earlier and have public-facing landing pages.
Upgrade to version 0.31.2.0 or later. Implement input validation and sanitization as a temporary workaround.
While no public exploits are currently known, the high CVSS score and ease of exploitation suggest active exploitation is possible.
Refer to the official ci4-cms-erp project repository or website for the latest security advisories and updates.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.