Platform
php
Component
ci4-cms-erp/ci4ms
Opgelost in
0.31.1
0.31.0.0
CVE-2026-34563 is een Cross-Site Scripting (XSS) kwetsbaarheid in CI4MS, een CodeIgniter 4-gebaseerd CMS. Deze kwetsbaarheid stelt een aanvaller in staat om kwaadaardige JavaScript-code te injecteren via een SQL-bestand, wat resulteert in code-uitvoering in de browser van andere gebruikers. De kwetsbaarheid treft versies van CI4MS lager dan 0.31.0.0. De kwetsbaarheid is verholpen in versie 0.31.0.0.
CVE-2026-34563 in ci4ms introduceert een opgeslagen Blind XSS-kwetsbaarheid via backupbeheer. Een aanvaller kan kwaadaardige JavaScript-code in de backuppnaam injecteren door onvoldoende sanitatie van gebruikersinvoer. Het bestand xss.sql wordt gebruikt om de payload in te voegen, en hoewel de XSS blind is (niet direct uitgevoerd in de browser van de gebruiker), stelt het de aanvaller in staat om gebruikersinteracties te volgen via server-side verzoeken, mogelijk gevoelige informatie te extraheren of acties namens de gebruiker uit te voeren. De CVSS-severity is 9.1, wat een kritiek risico aangeeft. Versies vóór 0.31.0.0 zijn getroffen. Dit type aanval kan moeilijk te detecteren zijn omdat er geen zichtbare JavaScript-uitvoering in de browser is.
Een aanvaller kan deze kwetsbaarheid uitbuiten door een kwaadaardig backupbestand (bijv. xss.sql) te uploaden met een zorgvuldig samengestelde bestandsnaam die JavaScript-code bevat. Deze code wordt opgeslagen in de database en wanneer de backuppnaam wordt verwerkt, wordt de JavaScript-code op de server uitgevoerd, waardoor de aanvaller gebruikersinteracties kan volgen. Exploitatie vereist toegang tot de backup upload functionaliteit van de applicatie, die mogelijk beschikbaar is via een web interface of API. De blinde aard van de XSS maakt detectie moeilijker, omdat er geen directe visuele indicatie van code-uitvoering is.
Exploit Status
EPSS
0.04% (13% percentiel)
CISA SSVC
CVSS-vector
De belangrijkste mitigatie voor CVE-2026-34563 is het upgraden van ci4ms naar versie 0.31.0.0 of hoger. Deze versie bevat een fix die de backuppnaam correct sanitiseert, waardoor het injecteren van kwaadaardige code wordt voorkomen. Bovendien wordt het implementeren van Content Security Policy (CSP) aanbevolen om de impact van potentiële XSS-aanvallen te verminderen, zelfs nadat de applicatie is bijgewerkt. Regelmatig auditen van de broncode op injectiekwetsbaarheden en periodiek penetratietesten uitvoeren zijn aanbevolen best practices om de beveiliging van de applicatie te waarborgen.
Actualice CI4MS a la versión 0.31.0.0 o superior. Esta versión corrige la vulnerabilidad de Cross-Site Scripting (XSS) almacenada en la gestión de copias de seguridad, evitando la inyección de código JavaScript malicioso a través de nombres de archivos de copia de seguridad.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Blind XSS toont de kwaadaardige code niet direct in de browser van de gebruiker. In plaats daarvan wordt de code op de server uitgevoerd en gebruikt om gebruikersacties te volgen via server-side verzoeken.
Versie 0.31.0.0 bevat een specifieke fix voor deze kwetsbaarheid en voorkomt zo het injecteren van kwaadaardige code in backuppnamen.
CSP is een reeks regels die de browser gebruikt om te bepalen welke resources een webpagina kan laden, waardoor XSS-aanvallen worden voorkomen.
Als u een versie gebruikt vóór 0.31.0.0, is de kans groot dat u kwetsbaar bent. Het uitvoeren van penetratietests kan helpen om de kwetsbaarheid te bevestigen.
Isoleer het getroffen systeem, onderzoek de beveiligingsinbreuk, upgrade naar de nieuwste versie van ci4ms en overweeg een uitgebreid beveiligingsaudit uit te voeren.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.