CVE-2026-63222

Nome do Software Vulnerável e Versões Afetadas CodeIgniter versões anteriores a 4.7.4

Description A chamada da função move() dentro da classe UploadedFile sem a provisão de um segundo argumento permite que a aplicação utilize o nome do arquivo fornecido pelo cliente sem a devida sanitização. Isso possibilita que um atacante remoto utilize sequências de path traversal—uma técnica usada para acessar arquivos e diretórios que estão restritos à pasta raiz da aplicação web—para gravar conteúdo enviado fora do diretório pretendido quando a aplicação expõe um caminho de upload.

Recommendations Atualize para a versão 4.7.4. Como mitigação temporária, evite chamar a função move() sem um segundo argumento para garantir que os nomes dos arquivos não sejam retirados diretamente do cliente.