🇰🇷 한글 설명
CI4MS는 CodeIgniter 4 기반의 CMS 스켈레톤으로, 0.31.0.0 이전 버전에서 메서드 관리 기능 내 사용자 입력값에 대한 적절한 검증이 이루어지지 않습니다. 공격자가 삽입한 JavaScript 페이로드가 서버에 저장된 후 관리자 인터페이스나 내비게이션 구성 요소에 직접 렌더링되어 저장형 DOM 기반 XSS 취약점이 발생합니다.
💡 쉬운 설명
해커가 악성 코드를 웹사이트 관리 페이지에 몰래 심어둘 수 있는 보안 약점입니다. 관리자가 페이지를 열 때마다 해커가 의도한 악성 스크립트가 실행되어 관리자 권한을 탈취당할 수 있습니다.
🇺🇸 원문 (English)
CI4MS is a CodeIgniter 4-based CMS skeleton that delivers a production-ready, modular architecture with RBAC authorization and theme support. Prior to version 0.31.0.0, the application fails to properly sanitize user-controlled input within the Methods Management functionality when creating or managing application methods/pages. Multiple input fields accept attacker-controlled JavaScript payloads that are stored server-side without sanitization or output encoding. These stored values are later rendered directly into administrative interfaces and global navigation components without proper encoding, resulting in Stored DOM-Based Cross-Site Scripting (XSS). This issue has been patched in version 0.31.0.0.
📍 영향받는 시스템
CI4MS 버전 0.31.0.0 미만
⚔️ 공격 벡터
메서드 관리 기능의 입력 필드에 악성 JavaScript 페이로드를 삽입하여 서버에 저장
🛡️ 대응 방법
CI4MS를 최신 보안 패치가 적용된 버전 0.31.0.0 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 0.31.0.0 미만인 경우 해당 취약점에 노출된 상태입니다.
grep -r "version" . | grep -E '0\.[0-2][0-9]\.[0-9]+' || echo 'Version check required'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server