PHP Seite 2

Das Guardian language-system übergibt den GET-Parameter id in speech.php ungefiltert an einen PHP-exec()-Aufruf. Angreifende können darüber beliebige Betriebssystembefehle auf dem Server ausführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das Guardian language-system übergibt den GET-Parameter id in speechmac.php (Zeile 18) ohne Bereinigung an einen PHP-exec()-Aufruf. Angreifer können dadurch eigene Befehle in die Kommandozeile einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Lücke über das Netz ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das Guardian language-system übergibt den GET-Parameter id in speech_text.php (Zeile 18) ohne Filterung an einen PHP-exec()-Aufruf. Angreifer können dadurch laut Quelle eigene Betriebssystembefehle einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Laut CVSS-Vektor ist der Angriff ohne Authentifizierung und ohne Nutzerinteraktion über das Netz möglich.

Das Guardian language-system übergibt den GET-Parameter id in text_to_subtitles.php ungefiltert an einen PHP-exec()-Aufruf. Angreifende können darüber beliebige Betriebssystembefehle auf dem Server ausführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das Guardian language-system übergibt den GET-Parameter id in translate_text.php (Zeile 18) ungefiltert an einen PHP-exec()-Aufruf. Angreifer können darüber Betriebssystembefehle einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Den id-Parameter vor der Übergabe an exec() strikt validieren beziehungsweise maskieren; die Quelldaten nennen keine fehlerbereinigte Version.

Das Guardian language-system übergibt den GET-Parameter id in transcribe_amazon.php (Zeile 15) ohne Bereinigung an einen PHP-exec()-Aufruf. Angreifer können darüber eigene Betriebssystembefehle einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Herstellerhinweise beachten und den externen Zugriff auf die Anwendung einschränken.

Das WordPress-Theme Streamit führt bis Version 4.5.0 bei einer seiner unauthentifizierten AJAX-Routen weder eine Berechtigungs- noch eine Nonce-Prüfung durch. Die Route ruft laut Quelle eine vom Angreifer vorgegebene PHP-Funktion mit einem ebenfalls angreifbaren Argument auf. CVSS-Basiswert: 9.8 (Kritisch).

In der Login-Verarbeitung (login.php) der Anwendung Stock-Inventory-Management-System werden rohe $_POST-Werte für Benutzername und Passwort ungeprüft in die Session ($_SESSION) übernommen. Die Authentifizierungs-Abfrage wird anschliessend durch direkte Verkettung dieser Session-Werte gebildet, wie in der NVD-Beschreibung dokumentiert. CVSS-Basiswert: 9.8 (Kritisch). Eine EPSS-Kennzahl liegt in den Quelldaten nicht vor.

Die Komponente Geo Controller ist bis einschliesslich Version 8.9.8 anfällig für nicht authentifizierte PHP Object Injection. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im WordPress-Plugin Hash Form ermöglicht eine PHP Object Injection in Versionen bis 1.4.1 nicht authentifizierten Angreifern das Einschleusen bösartiger Objekte. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Die BuddyBoss Platform erlaubt in Versionen bis einschliesslich 3.0.4 eine PHP Object Injection, die bereits mit den Rechten der Subscriber-Rolle ausgelöst werden kann. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) beschreibt einen netzwerkbasierten Angriff ohne Authentifizierung und ohne Benutzerinteraktion mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 3.0.4 aktualisieren.

ThemeREX Addons in Versionen bis einschliesslich 2.36.1.1 ist von einer unauthentifizierten PHP Object Injection betroffen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Laut CVSS-Vektor ist die Schwachstelle ohne Rechte und ohne Nutzerinteraktion über das Netz ausnutzbar. Betroffene Installationen sollten auf eine Version oberhalb der genannten Versionsspanne aktualisiert werden.

In SeaFood Company bis einschliesslich Version 1.4 besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgenutzt werden kann. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Lücke über das Netz ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Hot Coffee bis einschliesslich Version 1.7 besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgenutzt werden kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das WordPress-Plugin Contact Form, Survey, Quiz & Popup Form Builder (ARForms) ist in allen Versionen bis einschliesslich 1.8.5 anfällig für PHP Object Injection über die Deserialisierung nicht vertrauenswürdiger Eingaben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

ILIAS deserialisiert gespeicherte Session-Daten für einen nicht authentifizierten Aufrufer. Betroffen ist der Shibboleth-Backchannel-Endpunkt shib_logout.php unter components/ILIAS/AuthShibboleth/resources/, der in einem privilegierten Ausführungskontext läuft. CVSS-Basiswert: 9.8 (Kritisch).

In DokuWiki 2025-05-14b Librarian 56.2 kann ein entfernter Angreifer über die register-Funktion in inc/auth.php ein Konto anlegen. Der Hersteller bestreitet die Meldung laut Quelldaten mit dem Hinweis, dass es sich um das beabsichtigte Verhalten handelt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Angesichts der Herstellerbestreitung sollte vor Massnahmen die eigene Registrierungskonfiguration geprüft werden; Details im NVD-Eintrag.

In AI Lab besteht laut Quellbeschreibung eine PHP Object Injection, die ohne vorherige Authentifizierung ausgenutzt werden kann. Betroffen sind die Versionen vor 5.4.2. Die Lücke ist über das Netzwerk und ohne Benutzerinteraktion erreichbar und wirkt sich auf Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Auf Version 5.4.2 oder neuer aktualisieren.

Die Joomla-Erweiterung Aimy Captcha-Less Form Guard ist in den Versionen 18.0 bis 20.0 für PHP-Objekt-Injection anfällig. Über ein gefälschtes clfgd-Feld kann ein Angreifer ein präpariertes Objekt einschleusen, das von der Anwendung deserialisiert wird und dadurch Remote Code Execution ermöglicht. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das Guardian language-system übergibt den GET-Parameter id laut Quellbeschreibung ungefiltert an eine SQL-Abfrage in media.php (Zeile 17). Angreifer können darüber SQL-Injection ausführen. Die Lücke ist ohne Authentifizierung über das Netzwerk erreichbar und wirkt sich auf Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das Guardian language-system übergibt den GET-Parameter id in text_file.php ungefiltert an eine SQL-Abfrage. Angreifende können darüber eigene SQL-Anweisungen einschleusen und auf die Datenbank zugreifen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das Guardian language-system übergibt den GET-Parameter 'id' in job_info_get.php (Zeile 16) ungefiltert an eine SQL-Abfrage. Authentifizierte Angreifende können darüber eigene SQL-Anweisungen einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das Guardian language-system übergibt den GET-Parameter id in subtitles.php ungefiltert an eine SQL-Abfrage (Zeile 16), wodurch SQL-Injection möglich ist. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Weitere Details sind dem NVD-Eintrag zu entnehmen.

Das Guardian language-system übergibt den GET-Parameter name in designer.php (Zeile 124) ungefiltert an eine SQL-Abfrage. Ein authentifizierter Angreifer kann darüber laut Quelle eigene SQL-Anweisungen einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das Guardian language-system übergibt den GET-Parameter id in translate_text.php (Zeile 15) ungefiltert an eine SQL-Abfrage. Dadurch können Angreifer laut Quelle eigene SQL-Befehle einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Laut CVSS-Vektor ist der Angriff ohne Authentifizierung und ohne Nutzerinteraktion über das Netz möglich.

CodeIgniter ist ein PHP-Full-Stack-Webframework. In Versionen vor 4.7.4 erzwingen die Upload-Validierungsregeln is_image und mime_in nicht unabhängig voneinander eine sichere clientseitige Dateiendung, wodurch ein entfernter Angreifer diese Prüfung umgehen kann. CVSS-Basiswert: 9.8 (Kritisch). Betroffen sind Versionen vor 4.7.4.

Das WordPress-Plugin WP Insightly for Contact Form 7, WPForms, Elementor, Formidable and Ninja Forms enthält in den Versionen bis einschliesslich 1.1.4 eine PHP Object Injection, die ohne Authentifizierung ausgenutzt werden kann. Der Angriff erfolgt über das Netzwerk ohne Rechte und ohne Benutzerinteraktion (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 1.1.4 aktualisieren.

In der Erweiterung Integration for Keap/Infusionsoft and Contact Form 7, WPForms, Elementor, Formidable, Ninja Forms besteht eine unauthentifizierte PHP Object Injection. Betroffen sind laut NVD alle Versionen bis einschliesslich 1.2.1. CVSS-Basiswert: 9.8 (Kritisch); der Angriff ist über das Netzwerk ohne Zugangsdaten und ohne Benutzerinteraktion möglich. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 1.2.1 aktualisieren.

Das WordPress-Plugin WP Zendesk for Contact Form 7, WPForms, Elementor, Formidable and Ninja Forms erlaubt in Versionen bis einschliesslich 1.1.4 eine PHP Object Injection ohne vorherige Authentifizierung. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) beschreibt einen netzwerkbasierten Angriff ohne Authentifizierung und ohne Benutzerinteraktion mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 1.1.4 aktualisieren.

In der Erweiterung „Integration for ActiveCampaign and Contact Form 7, WPForms, Elementor, Ninja Forms“ besteht eine PHP Object Injection, die ohne Authentifizierung ausgenutzt werden kann. Betroffen sind laut Quelle die Versionen bis einschliesslich 1.1.1. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Lücke als netzwerkbasiert, ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 1.1.1 aktualisieren.

Das WordPress-Plugin Ajax Search Lite verhindert vor Version 4.14.5 nicht die Deserialisierung nicht vertrauenswürdiger Eingaben. Dies erlaubt nicht authentifizierten Angreifern, eine PHP-Object-Injection durchzuführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Alexantr filemanager v1.0 erlaubt eine Schwachstelle in der Komponente filemanager.php einem entfernten Angreifer die Ausführung beliebigen Codes. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: die betroffene Komponente nicht öffentlich erreichbar betreiben und den Einsatz der Software prüfen; in den Quelldaten ist keine fehlerbereinigte Version genannt.

In PHP 8.4.x vor 8.4.21 und 8.5.x vor 8.5.6 wird ein in einem Encoding-Namen eingebettetes NUL-Byte, das an `mb_convert_encoding()` oder verwandte mbstring-Funktionen übergeben wird, nicht korrekt verarbeitet. Dies kann zu sicherheitsrelevanten Fehlern führen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In JetEngine besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgelöst werden kann. Betroffen sind Versionen bis einschliesslich 3.8.10. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 3.8.10 aktualisieren.

Das Guardian language-system übergibt den GET-Parameter id in job_info.php (Zeile 16) ungefiltert an eine SQL-Abfrage. Eine Authentifizierung ist laut Quelle nicht erforderlich, sodass Angreifer aus der Ferne eigene SQL-Anweisungen einschleusen können. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Herstellerhinweise beachten und den externen Zugriff auf die Anwendung einschränken.

CodeIgniter ist ein Full-Stack-Webframework für PHP. In Versionen vor 4.7.3 prüft die Upload-Validierungsregel ext_in in system/Validation/StrictRules/FileRules.php die aus dem MIME-Typ abgeleitete, geratene Dateiendung anstelle der tatsächlichen Endung. Dadurch lässt sich die Endungsprüfung beim Datei-Upload umgehen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf CodeIgniter 4.7.3 oder neuer.

In PHP-Versionen 8.2.x vor 8.2.31, 8.3.x vor 8.3.31, 8.4.x vor 8.4.21 und 8.5.x vor 8.5.6 verarbeitet der PDO-Firebird-Treiber NUL-Bytes beim Vorbereiten von SQL-Abfragen unsachgemäss. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Telenia Software TVox enthält in den Versionen 26.5.3 und früheren 26.x-Versionen sowie 24.9.21 und früheren 24.x-Versionen eine Schwachstelle zur Umgehung der Authentifizierung in set_env.php im Zusammenhang mit der Funktion redirectToLoginAdminIRequestHaveAccess. CVSS-Basiswert: 9.8 (Kritisch).

In PHP-Versionen ab 8.4.* vor 8.4.24 sowie ab 8.5.* vor 8.5.9 können Angreifer-kontrollierte Eingaben an die Funktion bccomp() zu einem Out-of-Bounds-Schreibzugriff mit Stack- und Heap-Korruption führen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: PHP auf Version 8.4.24 bzw. 8.5.9 oder neuer aktualisieren.

In Uncanny Automator Pro besteht eine PHP Object Injection, die bereits von Konten mit der Rolle Subscriber ausgelöst werden kann. Betroffen sind Versionen bis einschliesslich 7.3.0.6. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 7.3.0.6 aktualisieren.

In Miantang/IoT-PHP verarbeitet die Route POST /userlogin den Passwort-Parameter $_POST['pwd'] laut Quelle ungeprüft und fügt ihn direkt in eine rohe SQL-Abfrage ein, die über mysql_query() ausgeführt wird. Dadurch ist eine SQL-Injection möglich. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H – der Angriff ist über das Netz ohne Authentifizierung und ohne Benutzerinteraktion durchführbar.

Twig, die Template-Sprache für PHP, kompiliert bei template_from_string() ab Version 3.9.0 bis einschliesslich 3.26.0 eine innere Vorlage unter einem synthetisierten Namen __string_template__<hash>, der ausserhalb der konfigurierten SourcePolicy liegen kann. Dadurch lässt sich unter Umständen die Sandbox-Beschränkung von Twig umgehen. Betroffen sind PHP- und Symfony-Installationen, die Twig einsetzen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Das login.php von Inventory-Management-System-PHP baut die Authentifizierungs-Query per direkter String-Verkettung aus rohen POST-Parametern zusammen, ohne die Eingaben zu bereinigen. Dadurch können Angreifer über die Parameter email und password eigenen SQL-Code einschleusen und die Anmeldelogik umgehen. CVSS-Basiswert: 9.8 (Kritisch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Das Plugin getgrav/grav-plugin-api setzt vor Version 1.0.18 in der Funktion requireNotSuperTarget() der UsersController.php den Geltungsbereich (Scope) von API-Keys nicht durch; das betrifft laut NVD sieben sicherheitsrelevante Endpunkte der Benutzerverwaltung. CVSS-Basiswert: 9.8 (Kritisch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Bezug zu Ransomware ist nicht bekannt.

Plumbing in Versionen bis einschliesslich 1.6 ist von einer unauthentifizierten PHP Object Injection betroffen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Laut CVSS-Vektor ist der Angriff über das Netz, ohne Rechte und ohne Nutzerinteraktion möglich. Betroffene Installationen sollten auf eine Version oberhalb der genannten Versionsspanne aktualisiert werden.

In Reisen in Versionen bis einschliesslich 1.4.1 besteht eine unauthentifizierte PHP Object Injection. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar und wirkt sich vollständig auf Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betroffene Installationen sollten anhand des NVD-Eintrags geprüft werden.

Fusion Builder ist für eine PHP Object Injection anfällig, die von Konten mit Contributor-Rechten ausgenutzt werden kann. Betroffen sind laut Quelle alle Versionen bis einschliesslich 3.15.4. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Broadcast Live Video ist in Versionen vor 7.1.3 für unauthentifizierte PHP Object Injection anfällig. Angreifende benötigen dafür keine gültige Anmeldung. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Version 7.1.3 oder neuer.

Das Plugin Integration for Salesforce and Contact Form 7, WPForms, Elementor, Formidable, Ninja Forms erlaubt eine PHP Object Injection ohne vorherige Authentifizierung. Betroffen sind laut Quelle alle Versionen bis einschliesslich 1.4.3. CVSS-Basiswert: 9.8 (Kritisch). Die Ausnutzung ist gemäss CVSS-Vektor über das Netzwerk ohne Rechte und ohne Benutzerinteraktion möglich. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In „Integration for Contact Form 7 and Constant Contact“ besteht eine PHP Object Injection, die ohne Authentifizierung ausgenutzt werden kann. Betroffen sind laut Quelle die Versionen bis einschliesslich 1.1.6. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Lücke als netzwerkbasiert, ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 1.1.6 aktualisieren.