CVE-2026-41203: Zip Slip (path traversal) no Theme::upload do CI4MS levando a RCE

Visão geral

O CI4MS é um esqueleto de sistema de gerenciamento de conteúdo baseado em CodeIgniter 4, com arquitetura modular, autorização RBAC e suporte a temas. O registro descreve uma falha de Zip Slip (path traversal) na função Theme::upload: as entradas de arquivos ZIP são extraídas sem validação dos nomes, de modo que arquivos podem ser gravados fora do local previsto para o tema. O registro classifica a fraqueza como CWE-22 Path Traversal.

Impacto

O registro afirma que um usuário autenticado do backend com permissão de criação de temas pode gravar arquivos em locais arbitrários do sistema de arquivos. Segundo a descrição, isso pode ser usado para colocar um arquivo PHP na raiz pública da web e obter execução remota de código. A CNA GitHub atribui pontuação base CVSS 4.0 de 9.4 (crítica), com alto impacto na confidencialidade, integridade e disponibilidade. Os dados SSVC do registro classificam o impacto técnico como total.

• Os dados CVSS 4.0 classificam o impacto em confidencialidade, integridade e disponibilidade como alto.
• O privilégio exigido é baixo: uma conta do backend com permissão de criação de temas.
• O registro marca o problema como não automatizável na classificação SSVC.

Produtos e versões afetadas

O registro lista o produto como Ci4-cms-erp Ci4ms, com versões anteriores à 0.31.5.0 afetadas. A descrição afirma que o problema foi corrigido na versão 0.31.5.0. O campo estruturado de correções do registro está vazio, então os administradores devem confirmar a versão corrigida na versão 0.31.5.0 e no aviso de segurança do GitHub.

Status de exploração

Os dados do catálogo KEV da CISA no registro indicam que esta CVE não está listada. Nenhuma exploração confirmada aparece nas fontes consultadas. O valor de exploração SSVC está registrado como poc (prova de conceito), que é uma condição diferente de exploração confirmada. Os dados EPSS da FIRST no registro indicam probabilidade de 0,00724 e percentil de 0,52812.

Correção e mitigação

• Atualize o CI4MS para a versão 0.31.5.0 ou posterior.
• Até a atualização, restrinja a permissão de envio de temas a administradores confiáveis e revise quais contas a possuem.
• Revise os temas existentes e a raiz pública da web em busca de arquivos PHP inesperados, e audite os envios de temas recentes.
• Aplique o princípio do menor privilégio à conta do servidor web, para que ela não possa gravar fora dos diretórios necessários.

Orientações de detecção

• Registre e revise os eventos de envio de temas, incluindo a conta que enviou e os nomes dos arquivos compactados.
• Inspecione os arquivos compactados enviados em busca de entradas que façam referência a diretórios superiores ou a caminhos absolutos.
• Monitore a criação ou alteração de arquivos de script em diretórios servidos pelo servidor web, e requisições a arquivos PHP inesperados.

Limitações das informações disponíveis

O registro não lista versões afetadas além da afirmação de que versões anteriores à 0.31.5.0 são afetadas. Ele não contém pontuação CVSS 3.x, portanto esse valor é desconhecido. As informações de exploração se limitam ao status KEV, aos valores SSVC e aos dados EPSS do registro. Os detalhes técnicos do caminho de código vulnerável não são descritos aqui.

Perguntas frequentes

Esta CVE está listada como explorada ativamente?

O registro mostra que a CVE não está listada no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor de exploração SSVC está registrado como poc, ou seja, prova de conceito.

Quais versões são afetadas?

O registro lista como afetadas as versões do CI4MS anteriores à 0.31.5.0.

O que os administradores devem fazer?

Atualizar para a versão 0.31.5.0 ou posterior, restringir a permissão de envio de temas a administradores confiáveis e revisar a raiz pública da web em busca de arquivos PHP inesperados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.