🇰🇷 한글 설명
CI4MS는 CodeIgniter 4 기반의 CMS 스켈레톤으로, 0.31.4.0 이전 버전에서 Google Maps iframe 설정(cMap 필드)에 대한 보안 취약점이 존재합니다. 공격자가 관리자 권한을 이용해 srcdoc 속성에 HTML 엔티티로 인코딩된 자바스크립트를 삽입할 경우, 일반 방문자의 브라우저에서 악성 코드가 실행될 수 있습니다.
💡 쉬운 설명
관리자 설정 화면에서 구글 지도 설정 칸을 이용해 악성 코드를 숨겨 넣을 수 있는 취약점입니다. 이 코드가 실행되면 웹사이트를 방문하는 일반 사용자들의 정보를 훔치거나 페이지를 조작할 수 있습니다.
🇺🇸 원문 (English)
CI4MS is a CodeIgniter 4-based CMS skeleton that delivers a production-ready, modular architecture with RBAC authorization and theme support. Prior to 0.31.4.0, the Google Maps iframe setting (cMap field) in compInfosPost() sanitizes input using strip_tags() with an <iframe> allowlist and regex-based removal of on\w+ event handlers. However, the srcdoc attribute is not an event handler and passes all filters. An attacker with admin settings access can inject an <iframe srcdoc="..."> payload with HTML-entity-encoded JavaScript that executes in the context of the parent page when rendered to unauthenticated frontend visitors. This vulnerability is fixed in 0.31.4.0.
📍 영향받는 시스템
CI4MS 버전 0.31.4.0 미만
⚔️ 공격 벡터
관리자 권한을 탈취한 공격자가 cMap 필드에 srcdoc 속성을 이용한 XSS 페이로드를 주입
🛡️ 대응 방법
CI4MS를 최신 보안 패치가 적용된 버전인 0.31.4.0 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 0.31.4.0 미만이면 취약한 상태입니다.
composer show codeigniter4/ci4ms | grep 'versions'