PT-2026-66682
CVE-2026-63222
·
تاريخ النشر
2026-07-31
·
تاريخ التحديث
2026-08-07
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات CodeIgniter السابقة للإصدار 4.7.4
الوصف
يؤدي استدعاء الدالة
move() داخل فئة UploadedFile دون توفير وسيطة ثانية إلى السماح للتطبيق باستخدام اسم الملف المقدم من العميل دون تنقية مناسبة. وهذا يمكّن المهاجم عن بُعد من استخدام تسلسلات اجتياز المسار — وهي تقنية تُستخدم للوصول إلى الملفات والمجلدات المحظورة من المجلد الجذر لتطبيق الويب — لكتابة المحتوى الذي تم تحميله خارج المجلد المقصود عندما يكشف التطبيق عن مسار التحميل.التوصيات
قم بالتحديث إلى الإصدار 4.7.4.
كإجراء تخفيفي مؤقت، تجنب استدعاء الدالة
move() بدون وسيطة ثانية لضمان عدم أخذ أسماء الملفات مباشرةً من العميل. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾