Vulnerabilidad en CI4MS de ci4-cms-erp (CVE-2026-39394)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-93 Neutralización incorrecta de secuencias de retornos de carro y saltos de linea (CRLF)

Fecha de publicación:

08/04/2026

Última modificación:

24/07/2026

Descripción

CI4MS es un esqueleto de CMS basado en CodeIgniter 4 que ofrece una arquitectura modular, lista para producción, con autorización RBAC y soporte de temas. Antes de la versión 0.31.4.0, el controlador Install::index() lee el parámetro POST &#39;host&#39; sin ninguna validación y lo pasa directamente a updateEnvSettings(), que lo escribe en el archivo .env a través de preg_replace(). Debido a que los caracteres de nueva línea en el valor no se eliminan, un atacante puede inyectar directivas de configuración arbitrarias en el archivo .env. Las rutas de instalación tienen la protección CSRF explícitamente deshabilitada, y el InstallFilter puede ser eludido cuando cache(&#39;settings&#39;) está vacío (caducidad de la caché o despliegue nuevo). Esta vulnerabilidad está corregida en la versión 0.31.4.0.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto