CodeIgniter4 allows spoofing of IP address when using proxy

CAO 7.5CVE-2022-23556 · BIT-codeigniter-2022-23556 · GHSA-ghw3-5qvm-3mqc · Công bố 22/12/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-23556 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng codeigniter4/framework, codeigniter (codeigniter).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.40%, cao hơn 34.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.2.11 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
codeigniter4/framework Packagist	`< 4.2.11`	`4.2.11`
codeigniter codeigniter	`≥ 4.0.0, < 4.2.11`	`4.2.11`

Mô tả

Impact

This vulnerability may allow attackers to spoof their IP address when your server is behind a reverse proxy.

Patches

Upgrade to v4.2.11 or later, and configure Config\App::$proxyIPs.

Workarounds

Do not use $request->getIPAddress().

References

https://codeigniter4.github.io/userguide/incoming/request.html#CodeIgniter\HTTP\Request::getIPAddress

For more information

If you have any questions or comments about this advisory:

Open an issue in codeigniter4/CodeIgniter4
Email us at SECURITY.md

Mô tả của NVD

CodeIgniter is a PHP full-stack web framework. This vulnerability may allow attackers to spoof their IP address when the server is behind a reverse proxy. This issue has been patched, please upgrade to version 4.2.11 or later, and configure `Config\App::$proxyIPs`. As a workaround, do not use `$request->getIPAddress()`.