Alta

Deserialization of Untrusted Data in Codeigniter4

Publicada: 06.01.2022
Actualizado: 11.10.2026 10:22

Impact

Deserialization of Untrusted Data was found in the old() function in CodeIgniter4. Remote attackers may inject auto-loadable arbitrary objects with this vulnerability, and possibly execute existing PHP code on the server. We are aware of a working exploit, which can lead to SQL injection.

Patches

Upgrade to v4.1.6 or later.

Workarounds

Do not use:

old() and form_helper
RedirectResponse::withInput() and redirect()->withInput()

References

PHP Object Injection | OWASP

For more information

If you have any questions or comments about this advisory:

Open an issue in codeigniter4/CodeIgniter4
Email us at SECURITY.md

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de Composer	codeigniter4/framework	< 4.1.6	4.1.6

Referencias

Puntuación CVSS 7.7/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:H/A:H
Debilidad (CWE): CWE-502
Plataforma: Composer
Paquete: codeigniter4/framework
Publicada: 06.01.2022
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-w6jr-wj64-mc9x - CC BY 4.0

Historial de vulnerabilidades: codeigniter4/framework

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (19) en el archivo

Entradas en total: 19
Primera → última: 01.2022 08.2026
Sin corrección: 1
Explotada en ataques: 0

Distribución por gravedad

Crítica 6
Alta 8
Media 4
Baja 1

Divulgaciones por año

2022: 9
2023: 2
2024: 1
2025: 2
2026: 5

07.08.2026

CodeIgniter: Uploaded file extension validation bypass in `is_image` and `mime_in` rules

Crítica · 9.8 CVE-2026-63223 < 4.7.4 4.7.4
07.08.2026

CodeIgniter: Path traversal in UploadedFile::move() when using client-provided filenames

Alta · 7.5 CVE-2026-63222 < 4.7.4 4.7.4
07.08.2026

CodeIgniter: SQL injection in Query Builder deleteBatch() when used with where() conditions

Crítica · 9.4 CVE-2026-63221 >= 4.3.0, < 4.7.4 4.7.4
11.06.2026

CodeIgniter4 has a validation bypass when uploading file extensions via `ext_in` rule

Crítica · 9.8 CVE-2026-48062 < 4.7.3 4.7.3
28.07.2025

CodeIgniter4's ImageMagick Handler has Command Injection Vulnerability

Crítica · 9.8 CVE-2025-54418 < 4.6.2 4.6.2
29.03.2024

CodeIgniter4 DoS Vulnerability

Alta · 7.5 CVE-2024-29904 < 4.4.7 4.4.7
30.10.2023

CodeIgniter4 vulnerable to information disclosure when detailed error report is displayed in production environment

Alta · 7.5 CVE-2023-46240 < 4.4.3 4.4.3
22.05.2023

Remote Code Execution Vulnerability in Validation Placeholders in CodeIgniter4

Crítica · 9.8 CVE-2023-32692 < 4.3.5 4.3.5
22.12.2022

CodeIgniter4 Potential Session Handlers Vulnerability

Alta · 8.6 CVE-2022-46170 < 4.2.11 4.2.11
22.12.2022

CodeIgniter4 allows spoofing of IP address when using proxy

Alta · 7.0 CVE-2022-23556 < 4.2.11 4.2.11
24.05.2022

CodeIgniter Improper Privilege Management

Alta · 8.8 CVE-2020-10793 <= 4.0.0 sin corrección
17.05.2022

CodeIgniter HTTP Header Injection

Alta · 7.5 CVE-2017-1000247 >= 3.1.3, < 3.1.4 3.1.4
01.03.2022

Remote CLI Command Execution Vulnerability in CodeIgniter4

Crítica · 9.4 CVE-2022-24711 < 4.1.9 4.1.9
06.01.2022

Deserialization of Untrusted Data in Codeigniter4 esta entrada

Alta · 7.7 CVE-2022-21647 < 4.1.6 4.1.6

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación