PHP Seite 18

In Twig lösen laut Quelle vor Version 3.26.0 mehrere Sprachkonstrukte bei einem Stringable-Operanden eine PHP-String-Koerzierung aus, ohne dass dabei SecurityPolicy::checkMethodAllowed() konsultiert wird. Die genauen Auswirkungen gehen aus der vorliegenden Quellbeschreibung nicht vollständig hervor. Zu CVSS- und EPSS-Werten liegen keine Angaben vor; die Einstufung Mittel ist ein neutraler Default.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Von Version 5.4.46 bis 5.4.52, 6.4.40, 7.4.12 und 8.0.12 sperrt der Fix zu CVE-2024-50340 das Runtime-Argv-Parsing nicht vollständig ab. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 5.4.53, 6.4.41, 7.4.13 und 8.0.13 weist der DefaultAuthenticationFailureHandler laut Quelle ein sicherheitsrelevantes Verhalten im Umgang mit anfragegesteuerten Daten auf. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony, ein PHP-Framework für Web- und Konsolenanwendungen, ist laut Quelle in den Versionen 5.4.0 bis 5.4.53, 6.4.41, 7.4.13 und 8.0.13 von einem Problem in den Komponenten NoPrivateNetworkHttpClient und IpUtils::PRIVATE_SUBNETS betroffen. Die genaue Auswirkung geht aus der vorliegenden Quellbeschreibung nicht vollständig hervor. Zu CVSS- und EPSS-Werten liegen keine Angaben vor; die Einstufung Mittel ist ein neutraler Default.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 7.4.13 und 8.0.13 verarbeitet MailomatRequestParser::validateSignature() den Header X-MOM-Webhook-Signature fehlerhaft. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. In den Versionen 6.1.0 bis 6.4.41, 7.4.13 und 8.0.13 lehnt UrlSanitizer::parse() rohe BiDi-Formatierungszeichen nicht ab. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Laut NVD verwendet UrlGenerator::doGenerate() vor den Versionen 5.4.53, 6.4.41, 7.4.13 und 8.0.13 eine auf strtr() basierende Kodierung von Dot-Segmenten, die als fehlerhaft beschrieben wird. Zu CVSS- und EPSS-Werten liegen in den Quelldaten keine Angaben vor; die Einstufung „Mittel“ ist ein neutraler Default.

Twig ist eine Template-Sprache für PHP. Vor Version 3.27.0 leiten veraltete interne Wrapper in src/Resources/core.php den aktuellen Sandbox-Status nicht an CoreExtension::checkArrow(), arraySome() und verwandte Funktionen weiter. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Twig, eine Template-Sprache für PHP, prüft in ArrayExpression vor Version 3.27.0 dynamische Mapping-Keys nicht ausreichend, bevor diese in Strings umgewandelt werden. Dadurch kann PHP die Methode __toString() eines als Schlüssel verwendeten Stringable-Objekts aufrufen. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Twig ist eine Template-Sprache für PHP. Laut NVD decken die Sandbox-Prüfungen für __toString() vor Version 3.27.0 Traversable-Werte nicht vollständig ab, die an die Filter join und replace übergeben oder von den Operatoren in und not in ausgewertet werden. Dadurch kann die Sandbox-Beschränkung in bestimmten Fällen umgangen werden. Zu CVSS- und EPSS-Werten liegen in den Quelldaten keine Angaben vor; die Einstufung „Mittel“ ist ein neutraler Default.

In Twig, einer Template-Sprache für PHP, übergibt der column-Filter laut Quelle vor Version 3.27.0 den aktiven Sandbox-Status zwar als Boolean, leitet dabei aber die aktuelle Source nicht an SandboxExtension::checkPropertyAllowed() weiter. Zu CVSS- und EPSS-Werten liegen in den Quelldaten keine Angaben vor; die Einstufung Mittel ist ein neutraler Default.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 extrahiert der X509Authenticator den Benutzeridentifikator fehlerhaft aus der $_SERVER-Variable. Die Quelldaten führen die konkreten Auswirkungen auf die Authentifizierung nicht weiter aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Symfony weist laut NVD eine Schwachstelle im UrlGenerator auf: Routen-Parameter werden dabei gegen ein Pattern validiert; die Quellbeschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Betroffen sind Versionen vor 5.4.52, 6.4.40, 7.4.12 und 8.0.12. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 hängt SendmailTransport im -t-Modus Empfängeradressen fehlerhaft an den ausgehenden Mailversand an. Die Quelldaten führen die konkreten Auswirkungen nicht weiter aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Von Version 6.1.0-BETA1 bis 6.4.40, 7.4.12 und 8.0.12 betrifft die Schwachstelle die URL-Bereinigung des HtmlSanitizer; die Quelldaten brechen an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony weist laut NVD eine Schwachstelle in OidcTokenHandler::verifyClaims() auf. Die Methode prüft laut Quelle den Audience-Claim (aud) sowie einen weiteren Claim; die Beschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Betroffen sind Versionen vor 6.4.40, 7.4.12 und 8.0.12. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 betrifft die Schwachstelle die Klasse ParameterizedHeader in der Mime-Komponente von Symfony; die Quelldaten brechen an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Crawler::addXmlContent() der DomCrawler-Komponente konfiguriert vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 eine Validierungseinstellung des zugrunde liegenden DOMDocument-Objekts in einer Weise, die laut Herstellerangabe fehlerhaft ist. Weitere technische Details zu den Auswirkungen liegen in den ausgewerteten Quelldaten nicht vor. CVSS- und EPSS-Werte sind nicht angegeben; die Einstufung „Mittel“ ist ein neutraler Default. Empfohlene Massnahme: Aktualisierung auf Symfony 5.4.52, 6.4.40, 7.4.12 bzw. 8.0.12 oder neuer.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Von Version 6.4.24 bis 6.4.40 sowie in 7.4.12 und 8.0.12 escaped der file_excerpt-Twig-Filter des Entwicklungs-Profilers Inhalte fehlerhaft. Die Quelldaten führen die genaue Auswirkung nicht weiter aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Symfony weist laut NVD eine Schwachstelle in der Cache-Komponente PdoAdapter auf. Die Methode doClear() erstellt dabei ein DELETE-Statement; die Quellbeschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Betroffen sind Versionen vor 5.4.52, 6.4.40, 7.4.12 und 8.0.12. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 7.4.12 und 8.0.12 sind die method-scoped Attribute #[IsGranted], #[IsSignatureValid] und #[IsCsrfTokenValid] von einem Fehlverhalten betroffen; die genaue Art der Auswirkung ist in den ausgewerteten Quelldaten nicht näher beschrieben. CVSS- und EPSS-Werte liegen nicht vor; die Einstufung „Mittel“ ist ein neutraler Default. Empfohlene Massnahme: Aktualisierung auf Symfony 7.4.12 bzw. 8.0.12 oder neuer.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. In den Versionen 7.1.0 bis 7.4.12 sowie 8.0.12 baut der Cas2Handler den CAS-Service-Parameter aus Request-Daten auf; die Quelldaten brechen an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 weist der server:log-Listener des Symfony\Bridge\Monolog-Kommandos eine Schwachstelle auf, die von den Quelldaten jedoch nicht im Detail ausgeführt wird. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Betreiber betroffener Symfony-Versionen sollten das Update im Blick behalten, sobald die Herstellerdetails vollständig vorliegen.

Symfony, ein PHP-Framework für Web- und Konsolenanwendungen, weist laut NVD eine Schwachstelle im Parser auf, sofern dieser Angreifer-kontrolliertem Input ausgesetzt ist. Betroffen sind Versionen vor 5.4.52, 6.4.40, 7.4.12 und 8.0.12. Weitere Details zur konkreten Auswirkung liegen in den Quelldaten nicht vor, da die Beschreibung dort abbricht. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Der Parser der Yaml-Komponente löst vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 YAML-Collection-Aliase auf eine Weise auf, die laut Herstellerangabe fehlerhaft ist. Weitere technische Details zu den Auswirkungen liegen in den ausgewerteten Quelldaten nicht vor. CVSS- und EPSS-Werte sind nicht angegeben; die Einstufung „Mittel“ ist ein neutraler Default. Empfohlene Massnahme: Aktualisierung auf Symfony 5.4.52, 6.4.40, 7.4.12 bzw. 8.0.12 oder neuer.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 verwendet die Methode Parser::cleanup() der Komponente Symfony\Component\Yaml einen regulären Ausdruck, der bei speziell präparierter Eingabe zu übermässigem Backtracking und damit zu einem Denial of Service führen kann. Betroffen sind Anwendungen, die YAML-Eingaben aus nicht vertrauenswürdigen Quellen verarbeiten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Twig ist eine Template-Sprache für PHP. Laut NVD escaped Compiler::string() vor Version 3.26.0 keine einfachen Anführungszeichen, wenn ein Template-Name aus einem {% use %}-Tag innerhalb eines PHP-Single-Quote-String-Literals platziert wird. Ein Community-Bericht (reddit:r/cybersecurity, manuell erfasst) ordnet diese Schwachstelle dem Projekt „Glasswing“ zu und beschreibt die Umgehung als universell ausnutzbar. Zu CVSS- und EPSS-Werten liegen in den Quelldaten keine Angaben vor; die Einstufung „Mittel“ ist ein neutraler Default.

In Twig kann laut NVD von Version 3.15.0 bis 3.26.0 über die dynamische Attribut-Syntax _self.(<string>) sowie über Import-Alias ein von Angreifern kontrollierter String in einen MacroReferenceExpression eingefügt werden. Laut einem Community-Writeup (reddit:r/cybersecurity, Projekt Glasswing) wird die Lücke zusätzlich als universell ausnutzbare Sandbox-Umgehung beschrieben; dokumentiert werden dabei die Entwicklung von Payloads sowie ein zugehöriges SSTImap-Modul. Zu CVSS- und EPSS-Werten liegen in den Quelldaten keine Angaben vor; die Einstufung Mittel ist ein neutraler Default, da weder ein CVSS-Wert noch ein KEV-Status belegt ist.

Für PHP ist die Schwachstelle CVE-2026-12184 ausgewiesen. Nähere technische Details liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Empfohlene Massnahme: das PHP-Changelog beachten und auf eine bereinigte Version aktualisieren.

Der PHP-Changelog (ChangeLog-8.php) referenziert CVE-2026-9672 im Rahmen einer PHP-8-Veröffentlichung. Eine detaillierte technische Beschreibung der Schwachstelle liegt in den Quelldaten nicht vor. Ein CVSS-Basiswert sowie ein EPSS-Wert sind nicht verfügbar.

Laut einem Beitrag im Security-Forum r/netsec betrifft CVE-2026-91766 einen Credential-Leak bei Weiterleitungen (Redirects) in PHP: Das zugrunde liegende Problem wurde in curl bereits 2018 behoben, besteht in PHP aber offenbar erneut bzw. weiterhin. Weitere technische Details, ein CVSS-Basiswert oder eine EPSS-Bewertung liegen aus der Quelle nicht vor. (manuell erfasst)

In code-projects Online Hospital Management System 1.0 wurde in der Datei viewdoctortimings.php eine Sicherheitslücke identifiziert. CVSS-Basiswert: 3.8 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Store Locator vor Version 1.6.9 validiert einen Parameter nicht, bevor er in einem Dateipfad verwendet wird. Dadurch können hoch privilegierte Benutzer wie Administratoren beliebige .php-Dateien vom Server lesen. CVSS-Basiswert: 3.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Plugin auf Version 1.6.9 oder neuer aktualisieren.

In SourceCodester Inventory System 1.0 besteht in einer Funktion der Datei header.php eine Cross-Site-Scripting-Schwachstelle (XSS). Durch Manipulation lässt sich Schadcode einschleusen, der anschliessend im Browser anderer Nutzer ausgeführt wird. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im SourceCodester Sales and Inventory System in der Version 1.0 wurde eine Schwachstelle festgestellt. Betroffen ist laut Quelle eine nicht näher bezeichnete Funktion der Datei /delete.php in der Komponente GET Parameter Handler, die sich durch Manipulation des Parameters ausnutzen lässt. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In code-projects Easy Blog Site 1.0 besteht eine Schwachstelle in einer Funktion der Datei /posts/update.php. Durch Manipulation des Arguments postTitle lässt sich Cross-Site-Scripting auslösen. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In code-projects Coaching Management System 1.0 wurde eine Schwachstelle in einer nicht näher bestimmten Funktion der Datei /cims/modules/student/complaint.php festgestellt. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im SourceCodester Pizzafy Ecommerce System in der Version 1.0 wurde eine Schwachstelle festgestellt. Betroffen ist laut Quelle die Funktion save_menu der Datei /admin/ajax.php?action=save_menu, die sich durch Manipulation ausnutzen lässt. CVSS-Basiswert: 2.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In code-projects Online Shoe Store 1.0 besteht eine Schwachstelle in einer unbekannten Funktion der Datei /admin/admin_football.php. Laut Quelle lässt sich diese durch Manipulation eines Arguments ausnutzen. CVSS-Basiswert: 2.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

In code-projects Online Shoe Store 1.0 besteht eine Schwachstelle in einer Funktion der Datei /admin/admin_running.php. Sie wird durch Manipulation des Arguments product_name ausgelöst. CVSS-Basiswert: 2.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In code-projects Online Shoe Store 1.0 ist eine unbekannte Funktion der Datei /admin/admin_product.php betroffen. Durch Manipulation eines Arguments lässt sich das Verhalten der Anwendung beeinflussen. CVSS-Basiswert: 2.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Pluck CMS bis einschliesslich Version 4.7.21 betrifft eine Schwachstelle die Funktion htmlspecialchars_decode der Datei data/modules/albums/albums.admin.php in der Komponente Albums-Modul. Laut Quellbeschreibung lässt sich die Schwachstelle durch Manipulation ausnutzen. CVSS-Basiswert: 2.4 (Niedrig). Der CVSS-Vektor weist auf einen netzbasierten Angriff mit hohen Rechten und erforderlicher Benutzerinteraktion bei begrenzter Auswirkung auf die Integrität hin.

In SourceCodester Pizzafy Ecommerce System 1.0 wurde eine Schwachstelle in der Funktion save_order der Datei /admin/ajax.php entdeckt. Sie betrifft die Verarbeitung eines manipulierten Arguments. CVSS-Basiswert: 2.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im SourceCodester Pizzafy Ecommerce System 1.0 betrifft eine Schwachstelle die Funktion save_user der Datei /admin/ajax.php?action=save_user. Laut Quelle lässt sich diese durch Manipulation ausnutzen. CVSS-Basiswert: 2.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

In SourceCodester Class and Exam Timetabling System 1.0 wurde eine Schwachstelle in einer Funktion der Datei /forCYS.php festgestellt, die sich durch Manipulation eines Arguments ausnutzen lässt. Die Lücke ist über das Netzwerk erreichbar, erfordert niedrige Rechte sowie eine Nutzerinteraktion und betrifft die Integrität in begrenztem Umfang. CVSS-Basiswert: 3.5 (Niedrig).

In SourceCodester Class and Exam Timetabling System 1.0 wurde eine Schwachstelle in einer Funktion der Datei /CYS.php festgestellt, die sich durch Manipulation eines Arguments ausnutzen lässt. Ein authentifizierter Angreifer kann darüber die Integrität der Anwendung über das Netzwerk beeinträchtigen. CVSS-Basiswert: 3.5 (Niedrig). Weitergehende Details oder eine konkrete Herstellermassnahme liegen in den Quelldaten nicht vor.

Im SourceCodester Class and Exam Timetabling System 1.0 ist eine unbekannte Funktion der Datei /schoolyr.php betroffen. Laut Quellbeschreibung führt die Manipulation eines Arguments zu einer Schwachstelle. CVSS-Basiswert: 3.5 (Niedrig). Der Vektor weist auf einen netzbasierten Angriff mit niedrigen Rechten und erforderlicher Benutzerinteraktion mit begrenzter Auswirkung auf die Integrität hin.

In SourceCodester Class and Exam Timetabling System 1.0 wurde eine Schwachstelle entdeckt, die einen unbekannten Teil der Datei /forexam.php betrifft. Laut Quellbeschreibung führt die Manipulation des Arguments day zur Ausnutzung. CVSS-Basiswert: 3.5 (Niedrig). Der CVSS-Vektor weist auf einen netzbasierten Angriff mit niedrigen Rechten und erforderlicher Benutzerinteraktion bei begrenzter Auswirkung auf die Integrität hin.

In der Anwendung code-projects Online Job Portal 1.0 wurde eine Schwachstelle in einer nicht näher bestimmten Funktion der Datei /Admin/DetailJob.php festgestellt. Durch Manipulation der Eingaben lässt sich Cross-Site-Scripting (XSS) auslösen. CVSS-Basiswert: 3.5 (Niedrig). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor; eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

In imvks786 student_management_system (bis Commit 9599b560ad3c3b83e75d328b76bedcd489ef1f46) besteht eine Schwachstelle in einer nicht näher bezeichneten Funktion der Datei /add.php, die sich durch Manipulation ausnutzen lässt. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.