Plataforma
php
Componente
ci4ms
Corrigido em
0.31.5
CVE-2026-39393 is a high-severity vulnerability affecting CI4MS, a CodeIgniter 4-based CMS skeleton. This flaw allows an unauthenticated attacker to overwrite the critical .env file, potentially gaining full control over the database. The vulnerability impacts versions 0.0.0 through 0.31.3. A fix is available in version 0.31.4.
A vulnerabilidade CVE-2026-39393 no CI4MS permite que um atacante acesse o assistente de configuração após a instalação, mesmo que a instalação já esteja completa. Isso ocorre devido a uma falha no mecanismo de proteção do roteador de instalação. O sistema depende unicamente de uma verificação de cache volátil (cache('settings')) e da existência do arquivo .env para bloquear o acesso. Se o banco de dados se tornar temporariamente indisponível durante uma falha de cache (expiração do TTL ou limpeza de cache acionada pelo administrador), o guardião falha e permite o acesso não autenticado ao assistente de configuração. Isso pode permitir que um atacante modifique a configuração do sistema, crie contas de administrador ou comprometa a segurança do site.
Um atacante pode explorar esta vulnerabilidade se o banco de dados estiver temporariamente indisponível durante uma solicitação ao roteador de instalação. Isso pode ocorrer devido a problemas de rede, sobrecarga do banco de dados ou manutenção programada. Se o cache estiver indisponível ou tiver expirado, o guardião falhará na verificação e permitirá o acesso ao assistente de configuração. O atacante poderá então usar o assistente de configuração para modificar a configuração do sistema ou criar contas de administrador, comprometendo assim a segurança do site. A probabilidade de exploração depende da estabilidade da conexão com o banco de dados e da configuração do cache.
CI4MS installations that have not been upgraded past version 0.31.3 are at risk. This includes deployments that rely on shared hosting environments, as well as those with legacy configurations or limited resources for timely patching. Installations that experience frequent database connectivity issues are particularly vulnerable.
• php: Examine CI4MS application logs for attempts to access the setup wizard during periods of database unavailability. Look for errors related to cache misses or database connection failures. • generic web: Monitor web server access logs for requests targeting the CI4MS setup route (typically /install) originating from unusual IP addresses. • generic web: Check the .env file for unexpected or malicious database credentials using a file integrity monitoring tool.
disclosure
Status do Exploit
EPSS
0.02% (percentil 5%)
CISA SSVC
Vetor CVSS
A solução para esta vulnerabilidade é atualizar o CI4MS para a versão 0.31.4 ou superior. Esta versão corrige o problema implementando uma verificação mais robusta para determinar se o assistente de configuração deve ser acessível. A atualização garante que o acesso ao assistente de configuração seja restrito a usuários autorizados, mesmo em situações em que o banco de dados está temporariamente indisponível. Recomenda-se fortemente aplicar esta atualização o mais rápido possível para proteger seu site de possíveis ataques. Além disso, certifique-se de que seu cache esteja configurado corretamente e que os TTLs sejam apropriados para evitar problemas de cache que possam exacerbar a vulnerabilidade.
Actualice a la versión 0.31.4 o superior para corregir la vulnerabilidad. Esta versión implementa una validación más robusta para prevenir el acceso no autorizado al instalador después de la instalación.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CI4MS é um esqueleto de CMS baseado em CodeIgniter 4 que oferece uma arquitetura modular pronta para produção com autorização RBAC e suporte a temas.
A versão 0.31.4 corrige a vulnerabilidade CVE-2026-39393, que permite o acesso não autorizado ao assistente de configuração.
Se não puder atualizar imediatamente, considere implementar medidas de segurança adicionais, como restringir o acesso à rede ao assistente de configuração.
Se você estiver usando uma versão anterior à 0.31.4, provavelmente estará vulnerável. Consulte a documentação do CI4MS para obter mais detalhes.
Consulte a documentação oficial do CI4MS e os avisos de segurança para obter informações sobre outras vulnerabilidades conhecidas.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.