„`html
Zusammenfassung
CVE-2026-63221 ist eine kritische SQL-Injection-Vulnerabilität im CodeIgniter PHP-Framework (Versionen 4.3.0 bis 4.7.3). Die Schwachstelle ermöglicht es Angreifern, durch manipulierte WHERE-Bedingungen beliebigen SQL-Code auszuführen. Der CVSS-Score von 9.4 kennzeichnet dies als kritischen Sicherheitsvorfall mit hohem Exploitationspotenzial.
Betroffene Systeme
- CodeIgniter 4.3.0 bis 4.7.3
- Alle Anwendungen mit aktiviertem Query Builder und Nutzung der deleteBatch()-Methode
- Systeme ohne Patch auf Version 4.7.4 oder höher
Technische Details
Die Vulnerabilität liegt in der deleteBatch()-Funktion des Query Builders. Diese Methode ersetzt gebundene Werte aus where()-Bedingungen in generiertem SQL-Code, ignoriert dabei jedoch die Escape-Flags der Bindungen. Dies führt dazu, dass benutzerkontrollierte Werte als direkter SQL-Code interpretiert werden statt als sichere Parameter.
Entscheidend: Die reguläre delete()-Methode ist nicht betroffen und escaped Bindings korrekt. Das Problem ist isoliert auf den deleteBatch()-Code-Pfad beschränkt.
Angriffsvektor: Netzwerk-basiert; keine Authentifizierung erforderlich.
Empfohlene Massnahmen
- Sofortige Aktualisierung: Update auf CodeIgniter 4.7.4 oder neuer durchfĂĽhren
- Interim-Schutz: Vermeiden Sie deleteBatch() bis zur Aktualisierung; nutzen Sie stattdessen reguläre delete()-Operationen
- Code-Review: PrĂĽfen Sie alle Implementierungen von deleteBatch() auf benutzerkontrollierte Input-Parameter
- Input-Validierung: Implementieren Sie strikte Eingabevalidierung und Whitelist-Mechanismen
- Web Application Firewall: Konfigurieren Sie WAF-Regeln zur SQL-Injection-Erkennung
Bewertung
Diese Vulnerabilität ist kritisch und erfordert sofortige Aufmerksamkeit. Der Netzwerk-Vektor und fehlende Authentifizierungsanforderung erhöhen das Risiko erheblich. Patch 4.7.4 behebt das Problem vollständig. Nicht aktualisierte Systeme sind unmittelbar gefährdet.
„`