CVE-2026-63223
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
CodeIgniter przed wersją 4.7.4 zawiera podatność w regułach walidacji is_image i mime_in, które nie wymuszają bezpiecznego rozszerzenia pliku. Zdalny atakujący może przesłać plik wykonywalny, jeśli aplikacja zachowuje oryginalną nazwę pliku i przechowuje go w katalogu dostępnym z sieci, gdzie PHP może być wykonywane.
Ocena ryzyka
Atakujący może przesłać skrypt PHP i uzyskać zdalne wykonanie kodu na serwerze, co może prowadzić do przejęcia kontroli nad aplikacją.
Rekomendacja
Należy zaktualizować CodeIgniter do wersji 4.7.4 lub nowszej oraz dodać niezależną walidację rozszerzeń plików (np. ext_in).
Oryginalny opis (angielski, źródło NVD)
CodeIgniter is a PHP full-stack web framework. Prior to 4.7.4, the is_image and mime_in upload validation rules do not independently enforce a safe client filename extension, allowing a remote attacker to upload executable content when an application preserves the client filename and stores uploads in a web-accessible script-enabled directory. Applications are impacted when they validate uploads using is_image or mime_in without an independent safe extension check (such as ext_in on patched versions), save uploaded files using the client-supplied filename, and place uploads in a web-accessible directory where PHP files can execute. This issue is fixed in version 4.7.4.