CVE-2026-63221 in CodeIgniter
Sumário
de VulDB • 31/07/2026
CodeIgniter é um framework web full-stack em PHP. Da versão 4.3.0 à 4.7.3, o método `deleteBatch()` do Query Builder substitui os valores vinculados das condições `where()` no SQL gerado, ignorando suas flags de escape, permitindo que valores de condição controlados pelo usuário sejam interpretados como SQL. Isso afeta apenas a ramificação de código do `deleteBatch()`. As operações regulares de `delete()` escapam corretamente dos binds da cláusula `where()`. Este problema foi corrigido na versão 4.7.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.