CodeIgniter 2.0.1 に対するノート(脆弱性とバグ)
(2011/09/09) CodeIgniter 2.0.3 がリリースされたため、このノートは今後更新しません。今後は、CodeIgniter 2.0.3 に対するノート(脆弱性とバグ) を参照願います。
(最終更新 2011/09/01)
これ以外の脆弱性をご存じの方がいらっしゃいましたら、是非、お教え願います。
既知のバグ
脆弱性など
- $this->db->cache_delete_all() すると .htaccess や index.html も削除されるためキャッシュファイルが漏洩する可能性
- Active Record での limit() の SQL インジェクションの可能性
- CSRF 対策のトークン漏洩の可能性
- MySQL/MySQLi ドライバでの SQL インジェクション(SET NAMES している)
- https://bitbucket.org/ellislab/codeigniter-reactor/issue/230/mysql-and-mysqli-drivers-vulnerable-to-sql
- CodeIgniter 2.0.3 で修正済みだが、MySQL ドライバは PHP 5.2.3 以上、かつ、MySQL 5.0.7 以上(mysql_set_charset() 関数が使える環境)が必要
- XSS フィルタの脆弱性
- Form ヘルパーの XSS 脆弱性
- $this->input->ip_address() で IP アドレス偽装の可能性
バグ
- $this->config->set_item() で設定を変更しても config_item() では変わらない
- URI セグメントに「文字列:数字」があるとパースに失敗する
- トランザクションのテストモードが機能しない
- $this->db->escape_like_str() のワイルドカードのエスケープにバグ
- ファイルヘルパーの get_mime_by_extension() にバグ
- requireとrequire_onceの違い + CodeIgniter 2.0.1のバグ – FLAMA技術Blog
- CodeIgniter 2.0.2 で修正済み
- Form バリデーションで Unable to access an error message corresponding to your field name. というエラーが出る
- https://bitbucket.org/ellislab/codeigniter-reactor/changeset/2ea3692e5cb4
- CodeIgniter 2.0.2 で修正済み
- Date ヘルパーの日付フォーマットのバグ
- Windows サーバで textarea の改行が二重になる
- https://bitbucket.org/ellislab/codeigniter/issue/332/newlines-in-textareas-are-duplicated
- CodeIgniter 2.0.2 で修正済み
- Core クラスの置き換えが有効にならない
