CI4MS: मेनू प्रबंधन (पेज) सभी भूमिकाओं के लिए पूर्ण खाता अधिग्रहण और विशेषाधिकार वृद्धि के माध्यम से संग्रहीत DOM XSS

ci4ms में CVE-2026-34564 भेद्यता संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) का एक महत्वपूर्ण जोखिम प्रस्तुत करती है। एक हमलावर नेविगेशन मेनू में पृष्ठ जोड़ने पर दुर्भावनापूर्ण जावास्क्रिप्ट कोड इंजेक्ट कर सकता है। यह कोड सर्वर पर संग्रहीत होता है और किसी भी उपयोगकर्ता के ब्राउज़र में निष्पादित होता है जो मेनू पृष्ठ पर जाता है, जिससे हमलावर कुकीज़ चुरा सकता है, उपयोगकर्ताओं को दुर्भावनापूर्ण साइटों पर पुनर्निर्देशित कर सकता है, या उपयोगकर्ता की ओर से अन्य हानिकारक क्रियाएं कर सकता है। CVSS स्कोर 9.1 है, जो तत्काल ध्यान देने की आवश्यकता वाली एक गंभीर जोखिम को इंगित करता है। मेनू प्रबंधन कार्यक्षमता में उपयोगकर्ता इनपुट के उचित सत्यापन की कमी इस स्थायी इंजेक्शन को सक्षम करती है, जिससे यह विशेष रूप से खतरनाक हो जाता है।

Organizations using ci4-cms-erp/ci4ms for their ERP or CMS systems, particularly those with custom menu configurations or integrations, are at risk. Shared hosting environments where multiple websites share the same server instance are also at increased risk, as a vulnerability in one website could potentially impact others.

• php: Examine the menu.php file (or equivalent menu management file) for unsanitized user input related to page titles and descriptions. Search for instances where data from the database is directly rendered in HTML without proper encoding.

// Example of vulnerable code (simplified)
<?php echo $_GET['page_title']; ?>

• generic web: Monitor access logs for unusual requests targeting menu-related endpoints with potentially malicious payloads in the URL parameters. Look for POST requests to menu management forms containing suspicious characters.

grep -i '<script' /var/log/apache2/access.log

1. 2026-04-01Disclosure

   disclosure

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-01
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-09

अनुशंसित समाधान ci4ms को संस्करण 0.31.0.0 या उच्चतर में अपडेट करना है। इस संस्करण में एक फिक्स शामिल है जो मेनू में पृष्ठ जोड़ने पर उपयोगकर्ता इनपुट के उचित सत्यापन को लागू करता है। इस बीच, एक अस्थायी उपाय के रूप में, यदि यह बिल्कुल आवश्यक नहीं है तो मेनू प्रबंधन कार्यक्षमता को अक्षम करें। इसके अतिरिक्त, पहले इंजेक्ट किए गए किसी भी दुर्भावनापूर्ण पेलोड के लिए मौजूदा मेनू पृष्ठों की समीक्षा और ऑडिट करें। सामग्री सुरक्षा नीति (CSP) को लागू करने से XSS के प्रभाव को कम करने में मदद मिल सकती है, हालांकि यह संपूर्ण समाधान नहीं है।

अंतिम अपडेट

0.31.9हाल ही में