NVD / CVE Program· CNA mitre

CVE-2014-8686: CodeIgniter before 2.2.0 makes it easier for attackers to decode session cookies by leveraging fallback to a custom XOR-based encryption…

КритическаяCVSS 9.8 · v3.0—Готовый эксплойт Исправление не зафиксировано

Оценка Noroxi

Приоритет: На этой неделе (оценка срочности 60/100)

Опубликован готовый модуль атаки (Metasploit); для эксплуатации не нужна особая квалификация.
Есть готовый инструмент атаки, а уязвимость эксплуатируется по сети без учётной записи, поэтому приоритет не ниже «На этой неделе».
Вероятность эксплуатации в ближайшие 30 дней: 37,2% (FIRST EPSS); выше, чем у 98,5% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
Согласно записи, исправленной версии пока нет.

Не ждите следующего окна обслуживания. До выхода исправления ограничьте доступ к затронутому компоненту и следите за бюллетенем производителя.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

CodeIgniter before 2.2.0 makes it easier for attackers to decode session cookies by leveraging fallback to a custom XOR-based encryption scheme when the Mcrypt extension for PHP is not available.

Без аутентификации

Опубликовано: 19 сент. 2017 г.
Обновлено: 16 июн. 2026 г.
EPSS: 37,2 % · 98-й процентиль
CWE: CWE-310

Инструменты для отчёта

JSON

Оценка срочности

На этой неделе

Не ждите следующего окна обслуживания.

CVSS: 39 / 40 · 9.8 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 11 / 30 · 37,2 %
Готовый инструмент атаки: 10 / 60 · нижняя граница: не меньше 60

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Есть боевой эксплойт
Исправленной версии пока нет

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
codeigniter	codeigniter	cpe:2.3:a:codeigniter:codeigniter

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

codeigniter codeigniterдо 2.1.4 включительно

Тот же продукт

codeigniter: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2014-8684CodeIgniter before 3.0 and Kohana 3.2.3 and earlier and 3.3.x through 3.3.2 make it easier for remote attackers to spoof session cookies…
61На этой неделе
CVE-2022-21647Deserialization of Untrusted Data in Codeigniter4
50В плане
CVE-2015-5725SQL injection vulnerability in the offset method in the Active Record class in CodeIgniter before 2.2.4 allows remote attackers to execute…
40В плане

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2011-371923 сент. 2011 г. · CodeIgniter 1.7.2 allows remote attackers to obtain sensitive information via a direct request to a .php file, which reveals the…
20Наблюдать
← РаньшеCVE-2016-1013112 янв. 2017 г. · system/libraries/Email.php in CodeIgniter before 3.1.3 allows remote attackers to execute arbitrary code by leveraging control over the…
40В плане
Позже →CVE-2017-100024717 нояб. 2017 г. · British Columbia Institute of Technology CodeIgniter 3.1.3 is vulnerable to HTTP Header Injection in the set_status_header() common…
30Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

Модуль Metasploit ×1
Запись Exploit-DB ×1

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Запись Exploit-DB	remote	2015-03-04
Модуль Metasploit	exploit/linux/http/seagate_nas_php_exec_noauthSeagate Business NAS Unauthenticated Remote Command Executionexploit	2015-03-01

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Metasploit1 мар. 2015 г.-934 дн.
Первый PoC4 мар. 2015 г.-931 дн.
Публикация19 сент. 2017 г.
Сегодня15 нояб. 2026 г.+3343 дн.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

В записи нет: ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки · публичной программы вознаграждений.