CVE-2026-63221

Nome do Software Vulnerável e Versões Afetadas CodeIgniter versões 4.3.0 through 4.7.3

Description No Query Builder, a função deleteBatch() substitui valores vinculados de condições where() no SQL gerado enquanto ignora suas flags de escape. Isso permite que valores de condição controlados pelo usuário sejam interpretados como SQL. Este problema é específico do caminho de código deleteBatch(), enquanto as operações delete() regulares tratam os vínculos where() corretamente.

Recommendations Atualize para a versão 4.7.4. Como medida paliativa temporária, evite usar a função deleteBatch() até que a atualização seja aplicada.