CVE-2026-63223 in CodeIgniter
Resumen
por VulDB • 2026-07-31
CodeIgniter es un framework web full-stack para PHP. Antes de la versión 4.7.4, las reglas de validación de carga `is_image` y `mime_in` no imponen de forma independiente una extensión segura del nombre de archivo proporcionado por el cliente, lo que permite a un atacante remoto cargar contenido ejecutable cuando una aplicación conserva el nombre de archivo del cliente y almacena los archivos cargados en un directorio habilitado para scripts y accesible mediante web. Las aplicaciones se ven afectadas cuando validan las cargas utilizando `is_image` o `mime_in` sin una verificación independiente de extensión segura (como `ext_in` en las versiones parcheadas), guardan los archivos subidos usando el nombre de archivo proporcionado por el cliente y colocan las cargas en un directorio accesible mediante web donde pueden ejecutarse archivos PHP. Este problema está resuelto en la versión 4.7.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.