CVE-2026-63220

CodeIgniter bir PHP full-stack web çerçevesidir. 4.7.4 öncesindeki sürümlerde, IncomingRequest::isSecure() gelen herhangi bir istekteki X-Forwarded-Proto ve Front-End-Https başlıklarına güvenmekteydi; bu durum, bir saldırganın bu başlıkları taklit ederek uygulamanın bir HTTP isteğini hatalı bir şekilde güvenli olarak değerlendirmesine neden olmasına izin veriyordu. Bu durum, yalnızca HTTPS erişimini zorlamak veya güvenlik açısından hassas kararlar vermek için isSecure(), force_https(), forceGlobalSecureRequests veya benzeri mantıklara dayanan uygulamaları etkilemiş olabilir. İstismar edilebilirlik, dağıtım yapılandırmasına bağlıdır. Uygulamalar, arka uç doğrudan HTTP üzerinden erişilebilir olduğunda veya bir ters proxy/yük dengeleyici istemci tarafından sağlanan yönlendirme başlıklarını temizlemeden veya üzerine yazmadan ilettiğinde en yüksek risk altındadır. Bu sorun 4.7.4 sürümünde düzeltilmiştir.