### Impacto Este é um arquivo inseguro que pode levar à validação de upload de vulnerabilidade que pode levar à execução de código remoto em configurações de aplicativos vulneráveis. Os aplicativos são impactados quando: - validam uploads usando `is_image` ou `mime_in` sem uma verificação independente de extensão segura, como `ext_in` em versões patcheadas - salvam os arquivos carregados usando o nome de arquivo fornecido pelo cliente - colocam uploads em um diretório acessível à web onde os arquivos PHP podem ser executados ### Atualização de Patches para v 4.7.4 ou mais tarde.
### Arrancamentos - Salvar uploads fora da raiz da web pública, preferencialmente em `writable/uploads`. - Use `$file->store()` ou `$file->move($path, $file->getRandomName()` em vez de preservar o nome original do arquivo do cliente. - Desabilitar a execução do script em qualquer diretório público de upload. - Verifique manualmente a extensão do nome do arquivo do cliente antes de mover o arquivo. - Para uploads de imagens, rejeitar arquivos quando `$file->getClientExtension()` não é uma extensão de imagem permitida. - Para validação exata do tipo MIME, rejeitar arquivos quando `$file->getClientExtension()` não corresponde a `$file->guessExtension()`. Registro de aconselhamento: GHSA- mmj 4 - 63 m 4 - r 6 h 5. Identificadores relacionados: CVE- 2026 - 63223.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 07 T 18: 24: 21.000 Z e lista a sua última modificação como 2026 - 08 - 07 T 18: 24: 21.000 Z. Gravidade: Crítico. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Informações afetadas sobre software e versão: Codeigniter de pacotes Packagist 4 / framework — ECOSISTEM: introduzido 0, corrigido 4.7.4. Classificação e evidência: identificadores de fraqueza CWE- 434. O registro contém 5 suporte de referências nestes tipos: WEB, AVISO, EMBALAGAMENTO.