What is CVE-2026-63221?
A SQL injection vulnerability was discovered in CodeIgniter versions 4.3.0 through 4.7.3, specifically within the Query Builder's deleteBatch() function. The issue occurs because bound values from where() conditions are substituted into the generated SQL without respecting their escape flags, allowing user-controlled input to be interpreted as SQL. Users should update to the latest patched version or manually escape user inputs in affected deleteBatch() calls.
Azərbaycanca: CodeIgniter PHP framework-inin 4.3.0-dan 4.7.3-dək versiyalarında Query Builder deleteBatch() funksiyasında SQL injection zəifliyi aşkar edilib. Bu zəiflik, where() şərtlərindən daxil edilən istifadəçi məlumatlarının escape flag-lərini nəzərə almadan SQL sorğusuna əlavə edilməsi səbəbindən baş verir. İstifadəçilər framework-i ən son versiyaya yeniləməli və ya təsirlənən deleteBatch() metodunda istifadəçi məlumatlarını əl ilə escape etməlidirlər.
Related CVEs
link basis: same weakness class CWE-89
FAQ2
Which versions of CodeIgniter are affected by the CVE-2026-63221 SQL injection vulnerability?
CodeIgniter versions 4.3.0 through 4.7.3 are affected by this vulnerability.
What should users do to mitigate the CVE-2026-63221 vulnerability?
Users should update to the latest patched version or manually escape user inputs in affected deleteBatch() calls.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.