CVE-2026-63223-POC

CVE-2026-63223 PoC — CodeIgniter 4 文件上传 RCE CVSS 9.8（严重） | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CWE-434 ：危险类型文件的不受限制上传 修复版本 ：CodeIgniter 4 v4.7.4 安全公告 ：GHSA-mmj4-63m4-r6h5 漏洞摘要 CodeIgniter 4 的 isimage 和 mimein 文件上传验证规则仅检查基于内容派生的 MIME 类型 （魔数），而不检查 客户端提供的文件扩展名。 未认证的攻击者可以在 PHP webshell...

CVE-2026-63223

CVE-2026-63223 — CodeIgniter 4 文件上传 RCE 魔术字节绕过 → isimage/mimein → PHP Webshell → RCE 概述 CVE-2026-63223 是一个严重等级（CVSS 9.8）的未认证 远程代码执行漏洞，影响 CodeIgniter 4 （一个 PHP 全栈 Web 框架）4.7.4 之前 的版本。 该漏洞利用了 isimage 和 mimein 文件上传验证规则，这些规则仅检查 由内容推导出的 MIME 类型（魔术字节），而不验证客户端提供的文件扩展名。攻击者将图片魔术字节（GIF89a、JPEG、PNG 文件头）添加到...

CVE-2026-63223

CodeIgniter (PHP framework) prior to version 4.7.4 is affected by an upload validation bypass in the is_image and mime_in rules. If an application preserves the client-supplied filename and stores uploads in a web-accessible, script-enabled directory, a remote attacker could upload executable con...

CVE-2026-63223 CodeIgniter: Uploaded file extension validation bypass in is_image and mime_in rules

CodeIgniter is a PHP full-stack web framework. Prior to 4.7.4, the isimage and mimein upload validation rules do not independently enforce a safe client filename extension, allowing a remote attacker to upload executable content when an application preserves the client filename and stores uploads...