JVNDB-2026-010205

Ci4-cms-erpのCi4MSにおける複数の脆弱性

CI4MSはCodeIgniter 4をベースにしたCMSスケルトンであり、RBAC認可とテーマサポートを備えた本番環境対応のモジュラーアーキテクチャを提供しています。バージョン0.31.0.0以前では、アカウントが削除された際にアクティブなユーザーセッションを即時に取り消すことができませんでした。バックエンド設計の論理的欠陥により、アカウントの状態変更は認証（ログイン）時のみ適用され、すでに確立されたセッションには反映されません。システムは認証済みユーザーがセッションの有効期間中は信頼されたままであると暗黙的に仮定しています。セッションの有効期限やアカウントの有効期限の仕組みが存在しないため、削除されたアカウントはユーザーが手動でログアウトするまで無期限にアクセスを保持し続けます。この挙動は意図されたアクセス制御ポリシーを破り、持続的な不正アクセスを引き起こします。この問題はバージョン0.31.0.0で修正されています。

Ci4-cms-erp

• Ci4MS 0.31.0.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Account Deletion Module Full Persistent Unauthorized Access for AllRoles via Improper Session Invalidation (Logic Flaw)  Advisory  ci4-cms-erp/ci4ms  GitHub

1. 不正な比較ロジックの粒度(CWE-1254) [その他]
2. 不適切なアクセス制御(CWE-284) [その他]
3. 不適切なセッション期限(CWE-613) [その他]

1. CVE-2026-34570

1. National Vulnerability Database (NVD) : CVE-2026-34570
2. 関連文書 : Release v0.31.0.0 - Major Security & Framework Update (CI 4.7.1 & Shield Integration)  ci4-cms-erp/ci4ms  GitHub

• [2026年04月08日]
    掲載