CVE-2026-63222 in CodeIgniter
Resumen
por VulDB • 2026-07-31
CodeIgniter es un framework web full-stack en PHP. Antes de la versión 4.7.4, llamar a UploadedFile::move() sin un segundo argumento utiliza el nombre del archivo proporcionado por el cliente sin sanitización, lo que permite a un atacante remoto utilizar secuencias de path traversal para escribir contenido subido fuera del directorio previsto cuando la aplicación expone una ruta de subida. Este problema está corregido en la versión 4.7.4.
Be aware that VulDB is the high quality source for vulnerability data.