CI4MS: मेथड्स मैनेजमेंट में पूर्ण खाता अधिग्रहण सभी भूमिकाओं के लिए और विशेषाधिकार-एस्केलेशन संग्रहीत DOM XSS के माध्यम से

ci4ms में CVE-2026-34558 भेद्यता एक महत्वपूर्ण जोखिम प्रस्तुत करती है क्योंकि यह उपयोगकर्ता के ब्राउज़र में दुर्भावनापूर्ण जावास्क्रिप्ट कोड के निष्पादन की संभावना है। विधि प्रबंधन कार्यक्षमता में उपयोगकर्ता-नियंत्रित इनपुट के अपर्याप्त सैनिटाइजेशन के कारण, एक हमलावर कोड इंजेक्ट कर सकता है जिसे डेटाबेस में संग्रहीत किया जाएगा और प्रत्येक बार जब कोई उपयोगकर्ता उस विधि को प्रस्तुत करने वाले पृष्ठ तक पहुंचता है तो स्वचालित रूप से निष्पादित किया जाएगा, खासकर वैश्विक नेविगेशन में। इससे कुकीज़ की चोरी, उपयोगकर्ता इंटरफ़ेस में हेरफेर, दुर्भावनापूर्ण साइटों पर रीडायरेक्ट या यहां तक ​​कि उपयोगकर्ता सत्र का पूर्ण नियंत्रण हो सकता है। पेलोड की स्थायी प्रकृति इस भेद्यता को विशेष रूप से खतरनाक बनाती है, क्योंकि एक ही हमले से कई उपयोगकर्ता और पृष्ठ प्रभावित हो सकते हैं।

Organizations utilizing ci4-cms-erp/ci4ms in production environments, particularly those with custom methods or pages built using the platform, are at significant risk. Shared hosting environments where multiple applications share the same server resources are also at increased risk, as a compromise of one application could potentially lead to the compromise of others.

• php: Examine application logs for unusual JavaScript execution patterns or attempts to create/modify methods with suspicious characters.

grep -i 'javascript:|alert|prompt' /var/log/apache2/error.log

• generic web: Inspect HTTP requests to the Methods Management endpoint for suspicious parameters or payloads.

curl -v 'https://your-ci4ms-instance/methods/create?name=<script>alert(1)</script>' 

• generic web: Review the application's source code, particularly the Methods Management functionality, for instances of unsanitized user input.

1. 2026-04-01Disclosure

   disclosure

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-01
3. EPSS अद्यतन2026-04-07

CVE-2026-34558 को कम करने के लिए, ci4ms को संस्करण 0.31.0.0 या उच्चतर में अपग्रेड करने की दृढ़ता से अनुशंसा की जाती है। इस संस्करण में एक फिक्स शामिल है जो विधि प्रबंधन कार्यक्षमता में उपयोगकर्ता इनपुट के उचित सैनिटाइजेशन को लागू करता है। इसके अतिरिक्त, अपने एप्लिकेशन कोड में सभी उपयोगकर्ता इनपुट को मजबूत सैनिटाइजेशन लाइब्रेरी का उपयोग करके सत्यापित और मान्य करें। कंटेंट सिक्योरिटी पॉलिसी (CSP) को लागू करने से एप्लिकेशन से समझौता किए जाने पर भी XSS हमलों के प्रभाव को कम करने में मदद मिल सकती है। एप्लिकेशन लॉग की निगरानी संदिग्ध गतिविधि के लिए भी संभावित हमलों का पता लगाने और प्रतिक्रिया देने में मदद कर सकती है।

अंतिम अपडेट

0.31.10.0हाल ही में