CVE-2026-63221
CVE-2026-63221 · CodeIgniter: SQL injection is possible via Query Builder deleteBatch() when used with where() conditions
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
CodeIgniter is a PHP full-stack web framework. From 4.3.0 through 4.7.3, Query Builder deleteBatch() substitutes bound values from where() conditions into generated SQL while ignoring their escape flags, allowing user-controlled condition values to be interpreted as SQL. This affects only the deleteBatch() code path. Regular delete() operations escape where() binds correctly. This issue is fixed in version 4.7.4.
CVSS 9.4 · Kritisch · EPSS 0,6% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system · php
Betroffene Produkte und Versionen
codeigniter4
- Softwareversionen
- >= 4.3.0, < 4.7.4: Betroffen
Keine Korrektur veröffentlicht
codeigniter4/framework Packagist
- Softwareversionen
- v4.3.0
- v4.3.1
- v4.3.2
- v4.3.3
- v4.3.4
- v4.3.5
- v4.3.6
- v4.3.7
- v4.3.8
- v4.4.0
- v4.4.1
- v4.4.2
- v4.4.3
- v4.4.4
- v4.4.5
- v4.4.6
- v4.4.7
- v4.4.8
- v4.5.0
- v4.5.1
- v4.5.2
- v4.5.3
- v4.5.4
- v4.5.5
- v4.5.6
- v4.5.7
- v4.5.8
- v4.6.0
- v4.6.1
- v4.6.2
- v4.6.3
- v4.6.4
- v4.6.5
- v4.7.0
- v4.7.1
- v4.7.2
- v4.7.3
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 4.3.0, < 4.7.4
Auf 4.7.4 aktualisieren
php-codeigniter-framework Ubuntu:24.04:LTS
- Softwareversionen
- 3.1.13+dfsg1-1
- 3.1.13+dfsg1-2
- 3.1.13+dfsg1-2ubuntu2
- 3.1.13+dfsg1-3
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-codeigniter-framework Ubuntu:26.10
- Softwareversionen
- 3.1.13+dfsg1-8
- 3.1.13+dfsg1-9
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-codeigniter-framework Ubuntu:26.04:LTS
- Softwareversionen
- 3.1.13+dfsg1-6
- 3.1.13+dfsg1-8
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht