Vulnerabilidad en ci4ms de ci4-cms-erp (CVE-2026-34557)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

30/03/2026

Última modificación:

06/04/2026

Descripción

CI4MS es un esqueleto de CMS basado en CodeIgniter 4 que ofrece una arquitectura modular lista para producción con autorización RBAC y soporte de temas. Antes de la versión 0.31.0.0, la aplicación no logra sanitizar correctamente la entrada controlada por el usuario dentro de la funcionalidad de gestión de grupos y roles. Múltiples campos de entrada (tres campos distintos relacionados con grupos) pueden ser inyectados con cargas útiles de JavaScript maliciosas, las cuales son luego almacenadas en el servidor. Estas cargas útiles almacenadas son luego renderizadas de forma insegura dentro de vistas administrativas privilegiadas sin una codificación de salida adecuada, lo que lleva a cross-site scripting (XSS) almacenado dentro del contexto de gestión de roles y permisos. Este problema ha sido parcheado en la versión 0.31.0.0.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.10 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Bajo