CI4MS: अनुमतियाँ प्रबंधन पूर्ण खाता अधिग्रहण सभी-भूमिकाओं और विशेषाधिकार-उत्थान के माध्यम से संग्रहीत DOM XSS

यह भेद्यता हमलावरों को प्रशासनिक पैनल में अनधिकृत क्रियाएं करने की अनुमति दे सकती है, जैसे कि उपयोगकर्ता खातों को संशोधित करना, डेटा को हटाना या बदलना, और सिस्टम कॉन्फ़िगरेशन को बदलना। चूंकि भेद्यता संग्रहीत XSS है, इसलिए हमलावर दुर्भावनापूर्ण स्क्रिप्ट को इंजेक्ट कर सकते हैं जो हर बार प्रभावित पृष्ठ लोड होने पर निष्पादित होगी, जिससे लगातार हमले का खतरा बढ़ जाता है। एक सफल शोषण से संवेदनशील जानकारी का प्रकटीकरण, सत्र अपहरण, और सिस्टम पर पूर्ण नियंत्रण भी हो सकता है। इस भेद्यता का प्रभाव उच्च है, खासकर उन संगठनों के लिए जो ci4-cms-erp/ci4ms पर निर्भर हैं और जिनके पास मजबूत सुरक्षा नियंत्रण नहीं हैं।

Organizations utilizing ci4-cms-erp/ci4ms in administrative roles, particularly those with limited security controls or outdated versions, are at significant risk. Shared hosting environments where multiple users share the same instance of ci4-cms-erp/ci4ms are also particularly vulnerable, as an attacker could potentially compromise the entire hosting environment through this vulnerability.

• php: Examine application logs for unusual JavaScript execution patterns or errors related to group/role management.

grep -i 'javascript:|alert(' /var/log/apache2/error.log

• generic web: Monitor HTTP requests and responses for suspicious JavaScript payloads within group/role management endpoints.

curl -s 'https://your-ci4ms-site.com/admin/groups/edit/1' | grep -i 'javascript:'

• generic web: Check for unusual characters or code within group/role names or descriptions.

cat /path/to/database/groups_table.sql | grep -i 'javascript:'

1. 2026-04-01Disclosure

   disclosure

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-01
3. EPSS अद्यतन2026-04-07

सबसे प्रभावी शमन उपाय ci4-cms-erp/ci4ms को संस्करण 0.31.0.0 या उच्चतर में अपडेट करना है। यदि तत्काल अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) को लागू करने पर विचार करें जो XSS हमलों को फ़िल्टर कर सके। इसके अतिरिक्त, इनपुट सत्यापन और आउटपुट एन्कोडिंग को मजबूत करना महत्वपूर्ण है। सुनिश्चित करें कि सभी उपयोगकर्ता-प्रदत्त इनपुट को ठीक से मान्य और सैनिटाइज किया गया है, और आउटपुट को सुरक्षित रूप से एन्कोड किया गया है ताकि दुर्भावनापूर्ण स्क्रिप्ट को निष्पादित होने से रोका जा सके। अपडेट के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, सभी प्रासंगिक पृष्ठों को लोड करके और यह सुनिश्चित करके कि कोई दुर्भावनापूर्ण स्क्रिप्ट निष्पादित नहीं हो रही है।

अंतिम अपडेट

0.31.9हाल ही में