Plataforma
php
Componente
ci4-cms-erp/ci4ms
Corrigido em
0.31.1
0.31.0.0
CVE-2026-34560 describes a stored DOM blind Cross-Site Scripting (XSS) vulnerability within the ci4-cms-erp/ci4ms application. This vulnerability allows attackers to inject malicious scripts through the unsafe rendering of user-controlled data within the logs interface, potentially leading to administrative context execution. The vulnerability affects versions of ci4-cms-erp/ci4ms up to and including 0.28.6.0, with a fix available in version 0.31.0.0.
A vulnerabilidade CVE-2026-34560 no ci4ms representa um risco significativo devido à possibilidade de execução de código arbitrário no contexto administrativo. Trata-se de uma vulnerabilidade de XSS armazenada e cega que surge da renderização insegura de dados registados controlados pelo utilizador. Um atacante pode injetar um payload XSS nos registos do sistema, e este payload será executado quando um administrador ou utilizador com privilégios aceder à interface de registos. Embora o atacante não veja imediatamente o resultado da execução (daí o termo 'cego'), pode utilizar técnicas como o rastreamento da atividade da rede ou a manipulação de cookies para extrair informações sensíveis ou realizar ações maliciosas em nome do utilizador com privilégios. A pontuação CVSS de 9,1 indica uma severidade elevada, o que sublinha a necessidade de uma mitigação imediata.
A exploração desta vulnerabilidade requer que um atacante seja capaz de injetar dados maliciosos nos registos do sistema. Isto pode ser alcançado através de várias vias, como a manipulação de entradas de utilizador que são registadas, a exploração de outras vulnerabilidades que permitem a escrita em ficheiros de registo ou o aproveitamento de configurações incorretas que permitem a injeção de dados. Uma vez que o payload XSS esteja presente nos registos, é ativado quando um utilizador com privilégios (como um administrador) visualiza os registos. A natureza 'cega' do XSS dificulta a deteção, uma vez que não existe uma resposta visual imediata, mas as consequências podem ser graves, incluindo o roubo de credenciais, a modificação de dados e a tomada de controlo do sistema.
Organizations using ci4-cms-erp/ci4ms in administrative roles are at significant risk. Specifically, those relying on the application's logging features for auditing or troubleshooting are particularly vulnerable. Shared hosting environments where multiple users have access to the same application instance are also at increased risk, as a compromised user could potentially exploit the vulnerability to gain access to other users' accounts.
• php: Examine application logs for unusual JavaScript code or encoded characters that could indicate an XSS payload. Use grep to search for patterns like <script> or onerror=.
grep -r '<script' /path/to/ci4ms/logs/*• generic web: Monitor access logs for requests containing suspicious URL parameters or POST data that might be used to inject XSS payloads. Look for unusual user agent strings or referrer headers.
curl -I 'https://your-ci4ms-site.com/logs?param=<script>' # Check response headers for XSS indicatorsdisclosure
patch
Status do Exploit
EPSS
0.03% (percentil 8%)
CISA SSVC
Vetor CVSS
A solução recomendada para mitigar a CVE-2026-34560 é atualizar o ci4ms para a versão 0.31.0.0 ou superior. Esta versão inclui uma correção que implementa uma codificação de saída adequada para os dados registados antes de os renderizar na interface do utilizador. Além disso, recomenda-se rever e fortalecer as políticas de registo para evitar a injeção de dados maliciosos nos registos do sistema. Implementar uma validação de entrada robusta em todos os pontos de entrada de dados, incluindo os mecanismos de registo, pode ajudar a prevenir futuras vulnerabilidades de XSS. Realizar auditorias de segurança periódicas e testes de penetração também são práticas recomendadas para identificar e abordar potenciais vulnerabilidades.
Actualice CI4MS a la versión 0.31.0.0 o superior. Esta versión corrige la vulnerabilidad XSS almacenada en la interfaz de registros, evitando la ejecución de código malicioso al visualizar los logs.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Numa XSS cega, o atacante não vê imediatamente o resultado da execução do código malicioso. Devem utilizar técnicas adicionais para observar o impacto, como o rastreamento da atividade da rede ou a manipulação de cookies.
A vulnerabilidade é executada no contexto administrativo, o que permite ao atacante realizar ações com os privilégios de um administrador, o que pode resultar numa tomada de controlo completa do sistema.
Se não conseguir atualizar imediatamente, implemente medidas de mitigação temporárias, como a validação de entrada e a codificação de saída na interface de registos.
Procure atividade incomum nos registos do sistema, alterações inesperadas na configuração e tráfego de rede suspeito.
Existem ferramentas de análise de vulnerabilidades que podem ajudar a identificar vulnerabilidades de XSS, mas é importante realizar testes de penetração manuais para confirmar a exploração.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.