PT-2026-31317 · Ci4Ms · Ci4Ms

Publicado 2026-04-08 · Atualizado 2026-04-08 · CVE-2026-39390

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions CI4MS versões anteriores a 0.31.4.0

Description CI4MS é um esqueleto de CMS baseado em CodeIgniter 4. Em versões anteriores a 0.31.4.0, a configuração do iframe do Google Maps (campo cMap) na função compInfosPost() não higieniza adequadamente o atributo srcdoc, permitindo que um invasor com acesso de administrador injete um payload de iframe malicioso com JavaScript codificado em entidades HTML. Este código injetado é executado no contexto da página pai quando visualizado por usuários não autenticados.

Recommendations Atualize para a versão 0.31.4.0 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-39390

GHSA-X3HR-CP7X-44R2

Produtos afetados

Ci4Ms

Referências · 9

• 🔥 https://github.com/ci4-cms-erp/ci4ms/security/advisories/GHSA-x3hr-cp7x-44r2 · Exploit
• https://github.com/ci4-cms-erp/ci4ms · Nota
• https://github.com/ci4-cms-erp/ci4ms/releases/tag/0.31.4.0 · Nota
• https://osv.dev/vulnerability/GHSA-x3hr-cp7x-44r2 · Aviso do Fabricante
• https://t.me/CVEtracker/50061 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2041929425260859647 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-39390 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2041977743252881501 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2041975656381030736 · Publicação no Twitter