🇰🇷 한글 설명
CI4MS(CodeIgniter 4 기반 CMS) 0.31.0.0 미만 버전에서 그룹 및 역할 관리 기능의 입력값 검증 미흡으로 인해 발생합니다. 공격자가 악성 자바스크립트를 삽입하면 관리자 페이지에서 해당 스크립트가 실행되는 저장형 XSS 취약점이 존재합니다.
💡 쉬운 설명
관리자 설정 화면에 악성 코드를 몰래 심어두는 공격입니다. 관리자가 권한 설정을 확인하는 순간, 공격자가 심어둔 코드가 실행되어 관리자의 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
CI4MS is a CodeIgniter 4-based CMS skeleton that delivers a production-ready, modular architecture with RBAC authorization and theme support. Prior to version 0.31.0.0, the application fails to properly sanitize user-controlled input within group and role management functionality. Multiple input fields (three distinct group-related fields) can be injected with malicious JavaScript payloads, which are then stored server-side. These stored payloads are later rendered unsafely within privileged administrative views without proper output encoding, leading to stored cross-site scripting (XSS) within the role and permission management context. This issue has been patched in version 0.31.0.0.
📍 영향받는 시스템
CI4MS version < 0.31.0.0
⚔️ 공격 벡터
그룹 및 역할 관리 기능의 입력 필드에 악성 자바스크립트 페이로드 삽입 (Stored XSS)
🛡️ 대응 방법
CI4MS를 최신 버전인 0.31.0.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 CI4MS 버전이 0.31.0.0 미만이면 취약한 상태입니다.
php composer.json | grep -E 'ci4ms/version' || echo 'Check application version manually'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server