CVE-2026-63223: CodeIgniter : Contournement de la validation de l'extension des fichiers téléchargés dans les règles is_image et mime_in | Kitploit

CVE-2026-63223

CritiquePublié

CodeIgniter : Contournement de la validation de l'extension des fichiers téléchargés dans les règles is_image et mime_in

Publié: 31 juil. 2026
Mise à jour: 31 juil. 2026
Attribution de CNA: GitHub_M
Preuve observée: 10 août 2026

CVSS primaire

9,8/ 10Critique

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Estimation de probabilité EPSS

0,8 %

Faible · 30 prochains jours

Percentile: 53,3 %
Date du modèle: 21 sept. 2026

EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.

Résumé

CodeIgniter est un framework web PHP full-stack. Avant la version 4.7.4, les règles de validation d'upload `is_image` et `mime_in` n'imposent pas indépendamment une extension de nom de fichier client sûre, permettant à un attaquant distant de téléverser du contenu exécutable lorsqu'une application conserve le nom de fichier client et stocke les uploads dans un répertoire accessible via le web et compatible avec l'exécution de scripts. Les applications sont concernées lorsqu'elles valident les uploads à l'aide de `is_image` ou `mime_in` sans vérification indépendante de l'extension sûre (telle que `ext_in` sur les versions corrigées), enregistrent les fichiers téléversés en utilisant le nom de fichier fourni par le client, et placent les uploads dans un répertoire accessible via le web où les fichiers PHP peuvent s'exécuter. Ce problème est corrigé dans la version 4.7.4.

Sources

CVE-2026-63223-POCPoC
CVE-2026-63223 PoC — Exécution de code à distance (RCE) via téléversement de fichier dans CodeIgniter 4 (is_image/mime_in) (CVSS 9.8). Exécution de code à distance non authentifiée via un contournement du téléversement de fichier sans restriction utilisant les octets magiques d'image. Corrigé dans la v4.7.4.
CVE-2026-63223Exploit
CVE-2026-63223 — CI4RCE : RCE par téléchargement de fichier is_image/mime_in dans CodeIgniter 4. Contournement des octets magiques (getExtension vs getClientExtension). CVSS 9.8 | CWE-434 | CI4 < 4.7.4

Utilisation responsable

Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.