CVE-2026-63223: CodeIgniter: Umgehung der Validierung der Dateierweiterung bei hochgeladenen Dateien in den Regeln is_image und mime_in | Kitploit

CVE-2026-63223

KritischVeröffentlicht

CodeIgniter: Umgehung der Validierung der Dateierweiterung bei hochgeladenen Dateien in den Regeln is_image und mime_in

Veröffentlicht: 31.07.2026
Aktualisiert: 31.07.2026
CNA zuweisen: GitHub_M
Beweise beobachtet: 10.08.2026

Primäres CVSS

9,8/ 10Kritisch

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS-Wahrscheinlichkeitsschätzung

0,8 %

Niedrig · nächste 30 Tage

Perzentil: 53,3 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

CodeIgniter ist ein PHP-Webframework für den Full-Stack-Betrieb. Vor Version 4.7.4 erzwingen die Upload-Validierungsregeln `is_image` und `mime_in` nicht unabhängig eine sichere Client-Dateinamenerweiterung, wodurch ein Remote-Angreifer ausführbare Inhalte hochladen kann, wenn eine Anwendung den Client-Dateinamen beibehält und Uploads in einem webbasierten, skriptfähigen Verzeichnis speichert. Anwendungen sind betroffen, wenn sie Uploads mit `is_image` oder `mime_in` validieren, ohne eine unabhängige sichere Erweiterungsprüfung (wie `ext_in` in gepatchten Versionen) durchzuführen, hochgeladene Dateien unter dem vom Client bereitgestellten Dateinamen speichern und Uploads in einem webbasierten Verzeichnis ablegen, in dem PHP-Dateien ausgeführt werden können. Dieses Problem ist in Version 4.7.4 behoben.

Quellen

CVE-2026-63223-POCPoC
CVE-2026-63223 PoC — CodeIgniter 4 is_image/mime_in Datei-Upload RCE (CVSS 9.8). Nicht authentifizierte Remote-Codeausführung über eine uneingeschränkte Datei-Upload-Umgehung mithilfe von Image-Magic-Bytes. Behoben in v4.7.4.
CVE-2026-63223Exploit
CVE-2026-63223 — CI4RCE: CodeIgniter 4 is_image/mime_in Datei-Upload-RCE. Magic-Bytes-Umgehung (getExtension vs getClientExtension). CVSS 9.8 | CWE-434 | CI4 < 4.7.4

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.