Mittel

Cross-site Scripting Vulnerability in CodeIgniter4

Veröffentlicht: 27.01.2022
Aktualisiert: 11.10.2026 10:22

Impact

Cross-Site Scripting (XSS) vulnerability was found in API\ResponseTrait in Codeigniter4. Attackers can do XSS attacks if you are using API\ResponseTrait.

Patches

Upgrade to v4.1.8 or later.

Workarounds

Do one of the following:

Do not use API\ResponseTrait nor ResourceController
Disable Auto Route and Use Defined Routes Only

References

Cross Site Scripting (XSS) Software Attack | OWASP Foundation

For more information

If you have any questions or comments about this advisory:

Open an issue in codeigniter4/CodeIgniter4
Email us at SECURITY.md

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	codeigniter4/framework	< 4.1.8	4.1.8

Verweise

CVSS-Wert 5.4/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
Schwäche (CWE): CWE-79
Plattform: Composer
Paket: codeigniter4/framework
Veröffentlicht: 27.01.2022
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-7528-7jg5-6g62 - CC BY 4.0

Schwachstellenhistorie: codeigniter4/framework

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (19) im Archiv

Einträge insgesamt: 19
Erste → letzte: 01.2022 08.2026
Ohne Fix: 1
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 6
Hoch 8
Mittel 4
Niedrig 1

Veröffentlichungen pro Jahr

2022: 9
2023: 2
2024: 1
2025: 2
2026: 5

07.08.2026

CodeIgniter: Uploaded file extension validation bypass in `is_image` and `mime_in` rules

Kritisch · 9.8 CVE-2026-63223 < 4.7.4 4.7.4
07.08.2026

CodeIgniter: Path traversal in UploadedFile::move() when using client-provided filenames

Hoch · 7.5 CVE-2026-63222 < 4.7.4 4.7.4
07.08.2026

CodeIgniter: SQL injection in Query Builder deleteBatch() when used with where() conditions

Kritisch · 9.4 CVE-2026-63221 >= 4.3.0, < 4.7.4 4.7.4
11.06.2026

CodeIgniter4 has a validation bypass when uploading file extensions via `ext_in` rule

Kritisch · 9.8 CVE-2026-48062 < 4.7.3 4.7.3
28.07.2025

CodeIgniter4's ImageMagick Handler has Command Injection Vulnerability

Kritisch · 9.8 CVE-2025-54418 < 4.6.2 4.6.2
29.03.2024

CodeIgniter4 DoS Vulnerability

Hoch · 7.5 CVE-2024-29904 < 4.4.7 4.4.7
30.10.2023

CodeIgniter4 vulnerable to information disclosure when detailed error report is displayed in production environment

Hoch · 7.5 CVE-2023-46240 < 4.4.3 4.4.3
22.05.2023

Remote Code Execution Vulnerability in Validation Placeholders in CodeIgniter4

Kritisch · 9.8 CVE-2023-32692 < 4.3.5 4.3.5
22.12.2022

CodeIgniter4 Potential Session Handlers Vulnerability

Hoch · 8.6 CVE-2022-46170 < 4.2.11 4.2.11
22.12.2022

CodeIgniter4 allows spoofing of IP address when using proxy

Hoch · 7.0 CVE-2022-23556 < 4.2.11 4.2.11
24.05.2022

CodeIgniter Improper Privilege Management

Hoch · 8.8 CVE-2020-10793 <= 4.0.0 keine Korrektur
17.05.2022

CodeIgniter HTTP Header Injection

Hoch · 7.5 CVE-2017-1000247 >= 3.1.3, < 3.1.4 3.1.4
01.03.2022

Remote CLI Command Execution Vulnerability in CodeIgniter4

Kritisch · 9.4 CVE-2022-24711 < 4.1.9 4.1.9
27.01.2022

Cross-site Scripting Vulnerability in CodeIgniter4 dieser Eintrag

Mittel · 5.4 CVE-2022-21715 < 4.1.8 4.1.8
06.01.2022

Deserialization of Untrusted Data in Codeigniter4

Hoch · 7.7 CVE-2022-21647 < 4.1.6 4.1.6

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden