目標達成 すべての支援者に感謝 — 100%達成しました！

目標: 1000 CNY · 調達済み: 1000 CNY

100.0%
コーヒーを一杯おごる

CVE-2026-34570— CI4MS 安全漏洞

CVSS 8.8 · High EPSS 0.03% · P10
新しい脆弱性情報の通知を購読するログインして購読

I. CVE-2026-34570の基本情報

脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗

高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。

脆弱性タイトル
CI4MS: Account Deletion Module Full Persistent Unauthorized Access for All‑Roles via Improper Session Invalidation (Logic Flaw)
ソース: NVD (National Vulnerability Database)
脆弱性説明
CI4MS is a CodeIgniter 4-based CMS skeleton that delivers a production-ready, modular architecture with RBAC authorization and theme support. Prior to version 0.31.0.0, the application fails to immediately revoke active user sessions when an account is deleted. Due to a logic flaw in the backend design, account state changes are enforced only during authentication (login), not for already-established sessions. The system implicitly assumes that authenticated users remain trusted for the lifetime of their session. There is no session expiration or account expiration mechanism in place, causing deleted accounts to retain indefinite access until the user manually logs out. This behavior breaks the intended access control policy and results in persistent unauthorized access. This issue has been patched in version 0.31.0.0.
ソース: NVD (National Vulnerability Database)
CVSS情報
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
访问控制不恰当
ソース: NVD (National Vulnerability Database)
脆弱性タイトル
CI4MS 安全漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
CI4MS是Ci4MS开源的一个博客页面管理工具。 CI4MS 0.31.0.0之前版本存在安全漏洞，该漏洞源于删除账户后未立即撤销活动用户会话，可能导致持久性未授权访问。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)

影響を受ける製品

ベンダープロダクト影響を受けるバージョンCPE購読
ci4-cms-erpci4ms < 0.31.0.0 -

II. CVE-2026-34570の公開POC

#POC説明ソースリンクShenlongリンク
AI生成POCプレミアム
Qwen3.6-35B-A3B · 5705 文字数
有料版に含まれるもの：
脆弱性の原理を深く分析
トリガー条件と影響範囲
完全な実行可能POCコード
攻撃チェーンと緩和策の提案
POCパッケージのダウンロード
月間100件以上のAI生成枠

III. CVE-2026-34570のインテリジェンス情報

请登录查看更多情报信息。

Same Patch Batch · ci4-cms-erp · 2026-04-01 · 14 CVEs total

CVE-2026-3457110.0 CRITICALCI4MS: Stored Cross‑Site Scripting (Stored XSS) in Backend User Management Allows Session
CVE-2026-3456910.0 CRITICALCI4MS: Blogs Categories Full Account Takeover for All-Roles & Privilege-Escalation via Sto
CVE-2026-345689.1 CRITICALCI4MS: Blogs Posts Full Account Takeover for All-Roles & Privilege-Escalation via Stored D
CVE-2026-345609.1 CRITICALCI4MS: Logs Full Account Takeover for All-Roles & Privilege-Escalation via Stored DOM XSS
CVE-2026-345599.1 CRITICALCI4MS: Blogs Tags Full Account Takeover for All-Roles & Privilege-Escalation via Stored DO
CVE-2026-345679.1 CRITICALCI4MS: Blogs Posts (Categories) Full Account Takeover for All-Roles & Privilege-Escalation
CVE-2026-345669.1 CRITICALCI4MS: Pages Management Full Account Takeover for All-Roles & Privilege-Escalation via Sto
CVE-2026-345649.1 CRITICALCI4MS: Menu Management (Pages) Full Account Takeover for All-Roles & Privilege-Escalation
CVE-2026-345639.1 CRITICALCI4MS: Backup Management Full Account Takeover for All-Roles & Privilege-Escalation via St
CVE-2026-345659.1 CRITICALCI4MS: Menu Management (Posts) Full Account Takeover for All-Roles & Privilege-Escalation
CVE-2026-345728.8 HIGHCI4MS: Account Deactivation Module Full Persistent Unauthorized Access for All‑Roles via I
CVE-2026-345624.7 MEDIUMCI4MS: System Settings (Company Information) Full Platform Compromise & Full Account Takeo
CVE-2026-345614.7 MEDIUMCI4MS: System Settings (Social Media Management) Full Platform Compromise & Full Account T

IV. 関連脆弱性

同じ製品: ci4ms
同じベンダー: ci4-cms-erp
同じ弱点: CWE-284

V. CVE-2026-34570へのコメント

まだコメントはありません

コメントを残す