CVE-2026-63220
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W CodeIgniter przed wersją 4.7.4, metoda IncomingRequest::isSecure() ufa nagłówkom X-Forwarded-Proto i Front-End-Https, co pozwala atakującemu na podszycie się i błędne uznanie żądania HTTP za bezpieczne, co może wpłynąć na logikę wymuszającą HTTPS.
Ocena ryzyka
Aplikacje polegające na isSecure() lub force_https() mogą zostać oszukane, co prowadzi do naruszenia poufności danych przesyłanych przez HTTP.
Rekomendacja
Zaktualizuj CodeIgniter do wersji 4.7.4 lub nowszej. Skonfiguruj reverse proxy tak, aby usuwało lub nadpisywało nagłówki forwardingowe od klienta.
Inne podatności w CodeIgniter
Zobacz wszystkie- CVE-2017-1000247Wysokie
CodeIgniter w wersji 3.1.3, używany przez British Columbia Institute of Technology, jest podatny na wstrzyknięcie nagłówków HTTP w funkcji set_status_header() pod Apache, co prowadzi do luk związanych z wstrzyknięciem nagłówków HTTP.
- CVE-2026-63223Krytyczne
CodeIgniter przed wersją 4.7.4 zawiera podatność w regułach walidacji is_image i mime_in, które nie wymuszają bezpiecznego rozszerzenia pliku. Zdalny atakujący może przesłać plik wykonywalny, jeśli aplikacja zachowuje oryginalną nazwę pliku i przechowuje go w katalogu dostępnym z sieci, gdzie PHP może być wykonywane.
- CVE-2026-63221Krytyczne
CodeIgniter od wersji 4.3.0 do 4.7.3 zawiera podatność w metodzie deleteBatch() Query Buildera, która podstawia wartości z warunków where() do wygenerowanego SQL bez uwzględniania flag ucieczki. Pozwala to na wstrzyknięcie SQL przez kontrolowane przez użytkownika wartości warunków.
- CVE-2026-48062Krytyczne
CodeIgniter przed wersją 4.7.3 zawiera podatność w regule walidacji ext_in, która sprawdza rozszerzenie na podstawie wykrytego typu MIME, a nie rzeczywistego rozszerzenia pliku. Plik o nazwie shell.php z treścią GIF może przejść walidację, co może prowadzić do wykonania dowolnego kodu.
- CVE-2014-8686Krytyczne
CodeIgniter przed wersją 2.2.0 ułatwia atakującym dekodowanie ciasteczek sesyjnych poprzez wykorzystanie alternatywnego szyfrowania opartego na XOR, gdy rozszerzenie Mcrypt dla PHP nie jest dostępne.
- CVE-2026-63222Wysokie
CodeIgniter przed wersją 4.7.4 zawiera podatność w metodzie UploadedFile::move(). Wywołanie jej bez drugiego argumentu używa nazwy pliku podanej przez klienta bez sanityzacji, co pozwala zdalnemu atakującemu na użycie sekwencji przejścia do katalogu nadrzędnego (path traversal) i zapisanie przesłanej zawartości poza zamierzonym katalogiem.
Oryginalny opis (angielski, źródło NVD)
CodeIgniter is a PHP full-stack web framework. In versions prior to 4.7.4, IncomingRequest::isSecure() trusted the X-Forwarded-Proto and Front-End-Https headers from any incoming request, allowing an attacker could spoof these headers and cause the application to incorrectly treat an HTTP request as secure. This may have impacted applications that rely on isSecure(), force_https(), forceGlobalSecureRequests, or similar logic to enforce HTTPS-only access or make security-sensitive decisions. Exploitability depends on deployment configuration. Applications are most exposed if the backend is reachable directly over HTTP, or if a reverse proxy/load balancer forwards client-supplied forwarding headers without stripping or overwriting them. This issue has been fixed in version 4.7.4.