プラットフォーム
php
コンポーネント
ci4ms
修正版
0.31.5
CVE-2026-39393 is a high-severity vulnerability affecting CI4MS, a CodeIgniter 4-based CMS skeleton. This flaw allows an unauthenticated attacker to overwrite the critical .env file, potentially gaining full control over the database. The vulnerability impacts versions 0.0.0 through 0.31.3. A fix is available in version 0.31.4.
CI4MS の CVE-2026-39393 は、インストール後にセットアップウィザードにアクセスできる脆弱性です。インストールが完了している場合でも、この脆弱性を悪用される可能性があります。これは、インストールルートガードの欠陥によるものです。システムは、アクセスをブロックするために、揮発性のキャッシュチェック (cache('settings')) と .env ファイルの存在にのみ依存しています。データベースがキャッシュミス (TTL の期限切れまたは管理者によってトリガーされたキャッシュのクリア) 中に一時的に利用できなくなると、ガードが開き、認証されていないアクセスがセットアップウィザードに許可されます。これにより、攻撃者がシステム構成を変更したり、管理者アカウントを作成したり、Web サイトのセキュリティを侵害したりする可能性があります。
データベースがインストールルートへのリクエスト中に一時的に利用できなくなると、攻撃者はこの脆弱性を悪用する可能性があります。これは、ネットワークの問題、データベースの過負荷、または計画メンテナンスが原因で発生する可能性があります。キャッシュが利用できない場合、または期限が切れている場合、ガードはチェックに失敗し、セットアップウィザードへのアクセスを許可します。その後、攻撃者はセットアップウィザードを使用してシステム構成を変更したり、管理者アカウントを作成したりして、Web サイトのセキュリティを侵害する可能性があります。悪用の可能性は、データベース接続の安定性とキャッシュ構成に依存します。
CI4MS installations that have not been upgraded past version 0.31.3 are at risk. This includes deployments that rely on shared hosting environments, as well as those with legacy configurations or limited resources for timely patching. Installations that experience frequent database connectivity issues are particularly vulnerable.
• php: Examine CI4MS application logs for attempts to access the setup wizard during periods of database unavailability. Look for errors related to cache misses or database connection failures. • generic web: Monitor web server access logs for requests targeting the CI4MS setup route (typically /install) originating from unusual IP addresses. • generic web: Check the .env file for unexpected or malicious database credentials using a file integrity monitoring tool.
disclosure
エクスプロイト状況
EPSS
0.02% (5% パーセンタイル)
CISA SSVC
この脆弱性の解決策は、CI4MS をバージョン 0.31.4 以降に更新することです。このバージョンは、セットアップウィザードへのアクセスを決定するためのより堅牢なチェックを実装することで問題を修正します。この更新により、データベースが一時的に利用できない場合でも、セットアップウィザードへのアクセスは承認されたユーザーに制限されます。潜在的な攻撃から Web サイトを保護するために、できるだけ早くこの更新を適用することを強くお勧めします。さらに、キャッシュが正しく構成されており、TTL が適切であることを確認して、脆弱性を悪化させる可能性のあるキャッシュの問題を回避してください。
Actualice a la versión 0.31.4 o superior para corregir la vulnerabilidad. Esta versión implementa una validación más robusta para prevenir el acceso no autorizado al instalador después de la instalación.
脆弱性分析と重要アラートをメールでお届けします。
CI4MS は、RBAC 認証とテーマサポートを備えた、プロデュース対応のモジュール式アーキテクチャを提供する CodeIgniter 4 ベースの CMS スケルトンです。
バージョン 0.31.4 は、CVE-2026-39393 脆弱性を修正し、セットアップウィザードへの不正アクセスを可能にします。
すぐにアップデートできない場合は、セットアップウィザードへのネットワークアクセスを制限するなど、追加のセキュリティ対策を実装することを検討してください。
0.31.4 より前のバージョンを使用している場合は、脆弱である可能性があります。詳細については、CI4MS のドキュメントを参照してください。
他の既知の脆弱性に関する情報を得るために、CI4MS の公式ドキュメントとセキュリティアドバイザリを参照してください。
CVSS ベクトル