CVE-2026-34569CI4MS是一个基于CodeIgniter 4框架构建的CMS系统，提供模块化架构和RBAC授权。在0.31.0.0版本之前，应用程序在创建或编辑博客分类时，未能对用户控制的输入进行适当的清理。攻击者可以将恶意的JavaScript有效载荷注入到分类标题字段中，该载荷随后会被存储在服务端。当管理员或普通用户访问公开的博客分类页面、管理界面或博客文章视图时，这些存储的载荷会被不安全地渲染，从而导致存储型跨站脚本（XSS）漏洞。
该漏洞源于CI4MS在处理博客分类标题字段时缺乏足够的输出编码和输入验证机制。攻击者无需高权限（PR:L），仅需拥有普通用户权限即可利用此漏洞。利用过程如下：攻击者在分类管理界面提交包含HTML/JS标签（如`<script>`或`<img onerror>`）的标题数据。服务器端未进行过滤直接将其持久化存储到数据库中。由于系统在后续渲染页面时未对数据进行转义，当其他用户（尤其是管理员）访问受影响的页面时，浏览器会解析并执行该恶意脚本。考虑到作用域为S:C（Scope Changed），该漏洞可能导致会话劫持、窃取敏感信息甚至进一步接管管理员账户。