PT-2026-31318 · Ci4Ms+1 · Ci4Ms+1

Publicado 2026-04-08 · Atualizado 2026-04-08 · CVE-2026-39391

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions CI4MS versões anteriores a 0.31.4.0

Description CI4MS é um esqueleto de CMS baseado em CodeIgniter 4. Em versões anteriores a 0.31.4.0, o parâmetro de nota de banimento (blacklist) na função ajax blackList post() dentro do UserController é armazenado no banco de dados sem sanitização e renderizado em um atributo HTML data-note sem escape. Isso permite que um administrador com privilégios de blacklist injete JavaScript arbitrário que é executado no navegador de qualquer outro administrador que visualize a página de gerenciamento de usuários.

Recommendations Atualize para a versão 0.31.4.0 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-39391

GHSA-7CM9-V848-CFH2

Produtos afetados

Ci4Ms

Codeigniter4

Referências · 9

• 🔥 https://github.com/ci4-cms-erp/ci4ms/security/advisories/GHSA-7cm9-v848-cfh2 · Exploit
• https://github.com/ci4-cms-erp/ci4ms · Nota
• https://github.com/ci4-cms-erp/ci4ms/releases/tag/0.31.4.0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-39391 · Nota de Segurança
• https://t.me/CVEtracker/50062 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2041975655085076912 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2041924306079269158 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2041977692073885711 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-7cm9-v848-cfh2 · Aviso do Fabricante