CVE-2026-41587
¿Qué es CVE-2026-41587?
CI4MS es un esqueleto de CMS basado en CodeIgniter 4 que ofrece una arquitectura modular lista para producción con autorización RBAC y soporte de temas. Desde la versión 0.26.0.0 hasta la versión anterior 0.31.7.0, una función de carga de temas permite a cualquier usuario backend autenticado con permiso de carga de temas lograr la ejecución remota de código (RCE) cargando un archivo ZIP diseñado. Los archivos PHP dentro del ZIP se instalan en el directorio public/ accesible desde la web sin extensión ni filtrado de contenido, lo que los hace directamente ejecutables a través de HTTP. Este problema se solucionó en la versión 0.31.7.0.
Preguntas frecuentes
CVE-2026-41587 tiene una puntuación CVSS de N/D/10, clasificada como Desconocido. Revise la lista de productos afectados y aplique los parches del fabricante.
El CVSS (Common Vulnerability Scoring System) califica la gravedad de las vulnerabilidades de 0,0 a 10,0. CVE-2026-41587 obtiene N/D/10 (Desconocido). Las puntuaciones de 9,0–10,0 son Críticas, 7,0–8,9 Altas, 4,0–6,9 Medias y por debajo de 4,0 Bajas.
La lista de dispositivos confirmados como afectados por CVE-2026-41587 se muestra en la sección "Dispositivos afectados" arriba. Compare su versión de firmware con el aviso de seguridad del proveedor y aplique el último parche.
Aplique la última actualización de firmware o software del proveedor. Consulte la sección de Referencias arriba para ver avisos oficiales y notas de parches. Si no hay parche disponible, considere deshabilitar la función afectada o aislar el dispositivo de redes no confiables.