CodeIgniter 4: Validação ext_in permite upload de arquivos maliciosos
A regra de validação `ext_in` usava a extensão derivada do MIME em vez da extensão fornecida pelo cliente, permitindo que arquivos como `shell.
O que mudou
A regra de validação `ext_in` usava a extensão derivada do MIME em vez da extensão fornecida pelo cliente, permitindo que arquivos como `shell.php` com conteúdo GIF passassem na validação.
Quem isso afeta
Aplicações que usam CodeIgniter 4, aceitam uploads de usuários, confiam em `ext_in` para validação de extensão, salvam arquivos com o nome original do cliente, armazenam uploads em diretórios acessíveis pela web e permitem execução de PHP nesses diretórios.
O que fazer hoje
Atualize para v4.7.3 ou superior. Se não for possível, aplique workarounds: salve uploads fora da raiz pública, use nomes de arquivo aleatórios, desabilite execução de scripts em diretórios de upload, verifique manualmente a extensão do cliente ou rejeite extensões incompatíveis.