CVE-2026-63222 in CodeIgniter
Sumário
de VulDB • 31/07/2026
O CodeIgniter é um framework web full-stack em PHP. Antes da versão 4.7.4, a chamada de UploadedFile::move() sem o segundo argumento utiliza o nome do arquivo fornecido pelo cliente sem sanitização, permitindo que um atacante remoto utilize sequências de path traversal para gravar conteúdo carregado fora do diretório pretendido quando a aplicação expõe um caminho de upload. Este problema foi corrigido na versão 4.7.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.