PHP Seite 17

Open ISES Tickets vor Version 3.44.2 enthält eine reflektierte Cross-Site-Scripting-Schwachstelle in patient_w.php. Authentifizierte Angreifer können über einen nicht bereinigten Wert beliebiges JavaScript einschleusen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Betroffen ist im Feed der überwachte Produktbereich PHP. Empfohlene Massnahme: auf Version 3.44.2 oder neuer aktualisieren.

Open ISES Tickets enthält vor Version 3.44.2 eine Reflected-Cross-Site-Scripting-Schwachstelle in routes_i.php. Authentifizierte Angreifer können über einen unbereinigten Wert beliebigen JavaScript-Code einschleusen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 3.44.2 oder neuer aktualisieren.

In Open ISES Tickets vor 3.44.2 wird in ajax/reports.php die TLS-Zertifikatsprüfung deaktiviert, indem CURLOPT_SSL_VERIFYPEER auf false gesetzt und CURLOPT_SSL_VERIFYHOST nicht gesetzt wird. Dies betrifft ausgehende HTTP-Anfragen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 3.44.2 oder neuer aktualisieren.

Open ISES Tickets vor Version 3.44.2 enthält in patient.php eine Reflected-Cross-Site-Scripting-Schwachstelle. Authentifizierte Angreifer können über einen unbereinigten Wert beliebiges JavaScript einschleusen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 3.44.2 oder neuer aktualisieren.

Emlog CMS enthält bis Version 2.6.14 laut NVD eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) im Artikel-Publishing-Modul (/admin/article.php). Ein entfernter, authentifizierter Angreifer kann dadurch beliebigen JavaScript-Code einschleusen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

FOG ist eine freie Open-Source-Suite für Cloning, Imaging, Rescue und Inventarverwaltung. In Versionen vor 1.5.10.1832 und 1.6.0-beta.2313 ersetzt die Methode buildRow() in fogpage.class.php Daten in einer Weise, die eine Schwachstelle bedingt. CVSS-Basiswert: 4.6 (Mittel), Vektor CVSS:3.1/AV:A/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: auf Version 1.5.10.1832 beziehungsweise 1.6.0-beta.2313 oder neuer aktualisieren.

Im Skript zone-include.php von Revive Adserver 6.0.7 besteht eine Cross-Site-Request-Forgery-Schwachstelle (CSRF). Das Verknüpfen und Entknüpfen von Bannern oder Kampagnen mit Zonen lässt sich über präparierte GET- oder POST-Anfragen ohne die erforderliche Absicherung auslösen. CVSS-Basiswert: 5.4 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Für diese Schwachstelle in PHP liegen derzeit keine näheren technischen Quellbeschreibungen vor. Der Schweregrad wird als Mittel eingestuft. Die Ausnutzungswahrscheinlichkeit (EPSS) liegt bei 0.0 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen ist nicht bekannt. Es wird empfohlen, betroffene PHP-Installationen zu prüfen und verfügbare Hersteller-Updates einzuspielen, sobald nähere Informationen vorliegen.

In osTicket bis Version 1.18.3 betrifft eine Schwachstelle eine nicht näher bezeichnete Funktion der Datei include/class.dispatcher.php der Komponente Dispatcher. Ursächlich ist laut Quelldaten die Manipulation eines Arguments. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In ProjectSend r2002 besteht eine Schwachstelle in unbekanntem Code der Datei upload.php, die zu Cross-Site Request Forgery führt. Der Angriff erfolgt laut Quelle über manipulierte Anfragen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

Das WordPress-Plugin Download Monitor ist in den Methoden actions_handler() und bulk_actions_handler() der Datei class-dlm-downloads-path.php für Cross-Site Request Forgery anfällig. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Admidio vor Version 5.0.11 enthält im save_temporary-Modus von mylist_function.php eine Insecure-Direct-Object-Reference-Schwachstelle. Authentifizierte Benutzer können dadurch Listenkonfigurationen anderer Nutzer übernehmen. CVSS-Basiswert: 4.3 (Mittel).

WWBN AVideo enthält eine unauthentifizierte, reflektierte Cross-Site-Scripting-Schwachstelle im Endpunkt url2Embed.json.php, über die Angreifer durch präparierte URLs mit HTML-Metadaten schädliche Skripte einschleusen können. Die Ausnutzung erfordert laut CVSS-Vektor eine Nutzerinteraktion und wirkt sich über Sicherheitsgrenzen hinweg aus (Scope: Changed). CVSS-Basiswert: 6.1 (Mittel).

Im Grav Login Plugin vor Version 3.8.13 validiert die Methode findTriplet() in TokenStorage.php Remember-Me-Token nicht korrekt, wodurch Sitzungen länger als vorgesehen gültig bleiben können. CVSS-Basiswert: 4.8 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor, eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Das öffentliche Kontaktformular von 299Ko (plugin/contact/controllers/ContactController.php, home()) übernimmt laut Quelle die rohen POST-Feldwerte (name, firstname, email, message) ungeprüft in das Seitentemplate. CVSS-Basiswert: 6.1 (Mittel), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N – der Angriff ist über das Netz ohne Authentifizierung möglich, erfordert aber eine Nutzerinteraktion sowie einen Wechsel des Sicherheitsbereichs (Scope Changed).

Zirkuläre symbolische Links in Phar-Archiven können laut NVD in PHP-Versionen ab 8.2.* vor 8.2.33, ab 8.3.* vor 8.3.33 sowie in weiteren betroffenen 8.x-Versionsreihen zu unbegrenzter Rekursion führen, die den C-Stack erschöpft und den PHP-Prozess zum Absturz bringt. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Das Guardian Language-System sanitisiert den GET-Parameter name nicht, bevor dieser in ein HTML-Input-value-Attribut in designer.php (Zeile 57) ausgegeben wird. Laut Quelle kann ein authentifizierter Angreifer dafür eine präparierte URL erstellen. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Guardian language-system bereinigt den GET-Parameter id nicht, bevor er in mehrere HTML-Formular-action-Attribute in text_file.php eingefügt wird (Zeilen 94, 101, 323, 403, 826, 852). Ein authentifizierter Angreifer kann dadurch die Seite manipulieren. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das Guardian Language-System bereinigt den GET-Parameter id nicht, bevor er in media.php (Zeilen 119, 129) in den HTML-Quelltext und in Formular-Action-Attribute eingefügt wird. Dadurch kann ein authentifizierter Angreifer über eine präparierte URL Cross-Site-Scripting auslösen. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Sourcecodester Fantastic Blog CMS 1.0 ist laut NVD über das address-Feld in pageEditMember.php anfällig für Cross-Site-Scripting (XSS). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die überwachten Quellen führen zu dieser CVE auch Craft CMS (Pixel & Tonic) und PHP.

Für PHP wurde eine Sicherheitslücke (CVE-2025-67899) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Concrete CMS vor Version 9.5.2 ist über unserialize()-Aufrufe in den Komponenten Permission, Cache und Search für eine PHP Object Injection anfällig. Ein nicht authentifizierter Angreifer kann dadurch die Instanziierung beliebiger PHP-Objekte auslösen. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Guzzle ist ein erweiterbarer PHP-HTTP-Client. Laut NVD erhält vor Version 7.15.2 beziehungsweise 8.0.1 jede Subdomain einer Cookie-Domain automatisch Zugriff auf das jeweilige Cookie, sofern die Methode SetCookie::matchesDomain() die Domain nicht gesondert behandelt. CVSS-Basiswert: 6.5 (Mittel). Eine Angabe zur Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

CodeIgniter ist ein PHP-Full-Stack-Webframework. In Versionen vor 4.7.4 vertraut IncomingRequest::isSecure() den Headern X-Forwarded-Proto und Front-End-Https jeder eingehenden Anfrage, ohne deren Herkunft zu prüfen. Ein Angreifer kann dadurch eine unverschlüsselte Verbindung fälschlich als sicher (HTTPS) ausweisen lassen. CVSS-Basiswert: 4.8 (Mittel).

FreeScout, ein freies Helpdesk- und Shared-Inbox-System auf Basis von PHPs Laravel-Framework, weist laut NVD eine Prototype-Pollution-Schwachstelle in der Funktion getQueryParam in /public/js/main.js auf. Der Fehler wurde in Version 1.8 (gemäss Quellangabe) behoben. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit hoher Angriffskomplexität, niedrigen Rechten und Nutzerinteraktion ausnutzbar. CVSS-Basiswert: 4.6 (Mittel). Empfohlene Massnahme: FreeScout auf die korrigierte Version aktualisieren.

Admidio vor Version 5.0.11 validiert das adm_csrf_token in modules/category-report/preferences.php nicht. Darüber lassen sich persistente Konfigurationsänderungen am Category Report allein anhand von GET-Parametern vornehmen. CVSS-Basiswert: 4.6 (Mittel).

SemCms 5.0 ist über eine manipulierte POST-Anfrage an /admin/semcms_user.php für Cross-Site Request Forgery (CSRF) anfällig. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

WWBN AVideo enthält eine Cross-Site-Request-Forgery-Schwachstelle in sendEmail.json.php. Authentifizierte Administratoren können dadurch unter Umgehung der Origin-Prüfung E-Mails über die Kontaktadresse der Website versenden. CVSS-Basiswert: 6.1 (Mittel). Zu einer empfohlenen Massnahme liegen in den Quelldaten keine Angaben vor.

In HAX CMS (HAXcms), das Microsites mit PHP- oder NodeJs-Backends verwaltet, besteht vor Version 26.0.0 eine Angriffskette aus Stored Cross-Site Scripting (XSS) in Verbindung mit der Offenlegung dynamischer Tokens im Endpunkt /system/api/connectionSettings. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf HAX CMS 26.0.0 oder neuer aktualisieren.

Die PHP-Variante von HAX CMS enthält vor Version 26.0.0 eine Schwachstelle, die einem authentifizierten Angreifer das Überschreiben von Dateien ermöglicht. HAX CMS verwaltet ein Microsite-Universum mit PHP- oder NodeJs-Backends. Ein CVSS- Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf HAX CMS 26.0.0 oder neuer aktualisieren.

HAX CMS dient der Verwaltung von Microsite-Umgebungen mit PHP- oder NodeJs-Backend. Ab Version 2.0.0 und vor Version 26.0.0 ist das gitlist-Plugin für nicht authentifizierte Nutzer erreichbar. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf HAX CMS 26.0.0 oder neuer aktualisieren.

In HAX CMS, das die Verwaltung von Microsite-Umgebungen mit PHP- oder Node.js-Backends ermöglicht, besteht in Versionen vor 26.0.0 eine gespeicherte Cross-Site-Scripting-Schwachstelle (Stored XSS) aufgrund unzureichender Bereinigung von `<iframe>`-Elementen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Aktualisierung auf HAX CMS 26.0.0 oder neuer.

HAX CMS verwaltet ein Universum von Microsites mit PHP- oder Node.js-Backends. In Versionen vor 26.0.0 besteht eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) aufgrund unzureichender Bereinigung eines Video-Elements (in den Quelldaten abgeschnitten). CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf HAX CMS 26.0.0 oder neuer aktualisieren.

HAX CMS verwaltet ein Universum von Microsites mit PHP- oder Node.js-Backends. In Versionen vor 26.0.0 erlaubt eine authentifizierte Server-Side-Request-Forgery-Schwachstelle (SSRF) authentifizierten Nutzern, serverseitig in den Quelldaten nicht näher spezifizierte Ressourcen abzurufen. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf HAX CMS 26.0.0 oder neuer aktualisieren.

HAX CMS verwaltet Microsite-Umgebungen mit PHP- oder Node.js-Backend. In Versionen vor 26.0.0 enthält die Funktion hmacBase64() im HAXcms-Node.js-Backend zwei kritische kryptografische Implementierungsfehler. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf HAX CMS Version 26.0.0 oder neuer aktualisieren.

In HAX CMS (@haxtheweb/open-apis) führen ab Version 9.0.1 und vor Version 26.0.0 mehrere Funktionen lediglich einen Teilstring-basierten Abgleich durch, was zu einer unzureichenden Prüfung führen kann. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf @haxtheweb/open-apis Version 26.0.0 oder neuer aktualisieren.

Im itsourcecode Hospital Management System 1.0 besteht eine Schwachstelle in einer Funktion der Datei /prescriptionorderreport.php, die sich durch Manipulation erreichen lässt. CVSS-Basiswert: 6.3 (Mittel). Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen und den Zugriff auf die betroffene Anwendung einschränken.

In DedeCMS 5.7.118 ist die Funktion ExtractFile der Datei include/zip.class.php in der Komponente Album Publishing Feature von einer durch Manipulation ausnutzbaren Schwachstelle betroffen. CVSS-Basiswert: 4.7 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Im SourceCodester Class and Exam Timetabling System 1.0 besteht laut Quelle eine Schwachstelle in einer unbekannten Funktionalität der Datei /exam.php. Die genaue Art der Manipulation ist in der Quellbeschreibung abgeschnitten und nicht abschliessend belegt. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS) liegt für diese CVE nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Von Version 6.1.0-BETA1 bis 6.4.40, 7.4.12 und 8.0.12 lässt UrlAttributeSanitizer::getSupportedAttributes() Attribute aus. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 7.4.12 und 8.0.12 verarbeitet MailtrapRequestParser::doParse() das konfigurierte Webhook-Secret laut Quelle in einer sicherheitsrelevanten Weise. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Die Twig-Sandbox verhindert laut Quelle vor Version 3.26.0 auch unter der striktesten Allow-List nicht, dass ein Template CPU-Zeit, Speicher oder Laufzeit übermässig verbraucht; dies ermöglicht nicht vertrauenswürdigen Templates eine Ressourcenerschöpfung. Zu CVSS- und EPSS-Werten liegen keine Angaben vor; die Einstufung Mittel ist ein neutraler Default.

Twig ist eine Template-Sprache für PHP. Vor Version 3.26.0 ist der veraltete spaceless-Filter als sicher für HTML registriert, wodurch das Autoescaping von Twig angreiferkontrollierbares Markup unescaped ausgibt, wenn spaceless verwendet wird. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Twig-intl-extra memoisiert vor Version 3.26.0 Instanzen von IntlDateFormatter und NumberFormatter in Arrays, deren Schlüssel aus templategesteuerten Filterargumenten wie der Locale gebildet werden. CVSS-Basiswert liegt nicht in den Quelldaten vor.

In Twig übergibt laut Quelle der column-Filter vor Version 3.26.0 Objekt-Arrays an die PHP-Funktion array_column(), die dabei öffentliche und magische Properties liest, ohne CoreExtension::getAttribute zu erreichen. Die genauen Auswirkungen gehen aus der vorliegenden Quellbeschreibung nicht vollständig hervor. Zu CVSS- und EPSS-Werten liegen keine Angaben vor; die Einstufung Mittel ist ein neutraler Default.

Twig ist eine Template-Sprache für PHP. Vor Version 3.26.0 sind mehrere Filter in twig/markdown-extra und twig/cssinliner-extra mit is_safe => [all] registriert, wodurch Twig Klartext- oder HTML-Ausgaben fälschlich als sicher behandelt. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Twig, eine Template-Sprache für PHP, kann vor Version 3.26.0 im Sandbox-Modus ({% sandbox %}{% include %}) ein Template einbinden, das zuvor ausserhalb der Sandbox geladen wurde, ohne dass dabei checkSecurity() erneut aufgerufen wird. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Twig ist eine Template-Sprache für PHP. Laut NVD kompiliert eine object-destructuring-Zuweisung zwischen Version 3.24.0 und 3.26.0 den Aufruf CoreExtension::getAttribute() mit fest auf false gesetztem Sandbox-Parameter, wodurch die Zugriffsprüfung auf Objekteigenschaften deaktiviert wird. Zu CVSS- und EPSS-Werten liegen in den Quelldaten keine Angaben vor; die Einstufung „Mittel“ ist ein neutraler Default.

Symfony Polyfill portiert PHP-Funktionen zurück und stellt Kompatibilitätsschichten für Erweiterungen und Funktionen bereit. Von Version 1.17.1 bis 1.38.1 akzeptiert symfony/polyfill-intl-idn xn--Labels, deren Punycode-Nutzlast fehlerhaft ist. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 6.4.40, 7.4.12 und 8.0.12 verarbeitet TwilioRequestParser::doParse() das konfigurierte Webhook-Secret laut Quelle in einer sicherheitsrelevanten Weise. CVSS-Basiswert liegt nicht in den Quelldaten vor.