CI4MS: Paramètres Système (Gestion des Médias Sociaux) Compromission Complète de la Plateforme et Prise de Contrôle Total des Comptes pour Tous les Rôles et Élévation de Privilèges via Stored DOM XSS

La vulnérabilité CVE-2026-34561 dans ci4ms présente un risque important de Cross-Site Scripting (XSS) stocké. Le manque de sanitisation adéquate des entrées utilisateur contrôlées dans les champs de configuration de la gestion des réseaux sociaux (Social Media et Social Media Link) permet à un attaquant d'injecter du code JavaScript malveillant qui s'exécute immédiatement sur la même page. Cela peut entraîner le vol de cookies de session, la redirection des utilisateurs vers des sites Web malveillants, la modification du contenu de la page et, en général, la prise de contrôle de l'expérience utilisateur. La persistance de la vulnérabilité signifie qu'une fois un payload injecté, il affectera tous les utilisateurs accédant à la page avec la configuration compromise. L'impact est particulièrement grave si l'application est utilisée dans un environnement critique ou si elle traite des informations sensibles des utilisateurs.

Organizations using ci4-cms-erp/ci4ms for their ERP and CMS needs, particularly those relying on the Social Media Management features, are at risk. Shared hosting environments where multiple users share the same instance of ci4-cms-erp/ci4ms are especially vulnerable, as an attacker could potentially compromise the entire hosting environment through this vulnerability.

• php: Examine the System Settings – Social Media Management section for suspicious JavaScript code injected into the Social Media and Social Media Link fields. Use grep to search for common XSS payloads (e.g., <script>, onload=, javascript:) within the configuration files.

grep -r '<script' /path/to/ci4ms/config/social_media.php

• generic web: Monitor access logs for unusual requests targeting the social media configuration endpoints. Look for requests containing suspicious characters or patterns indicative of XSS attempts.

curl -s 'http://your-ci4ms-site.com/system/settings/social_media?social_media=<script>alert(1)</script>' > /dev/null 2>&1

1. 2026-04-01Disclosure

   disclosure

1. Réservé2026-03-30
2. Publiée2026-04-01
3. Modifiée2026-04-06
4. EPSS mis à jour2026-04-09

La solution à CVE-2026-34561 consiste à mettre à jour ci4ms vers la version 31.0.0 ou supérieure. Cette version inclut des correctifs de sécurité qui mettent en œuvre une sanitisation robuste des entrées utilisateur dans les champs de configuration des réseaux sociaux. En plus de la mise à jour, il est recommandé de revoir et de valider toutes les configurations de réseaux sociaux existantes pour s'assurer qu'elles ne contiennent pas de payloads malveillants injectés précédemment. La mise en œuvre d'une politique de sécurité qui limite les autorisations des utilisateurs qui peuvent modifier les paramètres des réseaux sociaux peut également aider à prévenir les futures attaques. Enfin, il est essentiel de réaliser des tests de sécurité périodiques pour identifier et atténuer les vulnérabilités potentielles.

Dernière mise à jour

0.31.10.0récemment