PHP Seite 3

In JetEngine besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgelöst werden kann. Betroffen sind Versionen bis einschliesslich 3.8.10. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 3.8.10 aktualisieren.

Das Guardian language-system übergibt den GET-Parameter id in job_info.php (Zeile 16) ungefiltert an eine SQL-Abfrage. Eine Authentifizierung ist laut Quelle nicht erforderlich, sodass Angreifer aus der Ferne eigene SQL-Anweisungen einschleusen können. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Herstellerhinweise beachten und den externen Zugriff auf die Anwendung einschränken.

CodeIgniter ist ein Full-Stack-Webframework für PHP. In Versionen vor 4.7.3 prüft die Upload-Validierungsregel ext_in in system/Validation/StrictRules/FileRules.php die aus dem MIME-Typ abgeleitete, geratene Dateiendung anstelle der tatsächlichen Endung. Dadurch lässt sich die Endungsprüfung beim Datei-Upload umgehen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf CodeIgniter 4.7.3 oder neuer.

In PHP-Versionen 8.2.x vor 8.2.31, 8.3.x vor 8.3.31, 8.4.x vor 8.4.21 und 8.5.x vor 8.5.6 verarbeitet der PDO-Firebird-Treiber NUL-Bytes beim Vorbereiten von SQL-Abfragen unsachgemäss. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Im Car Rental Script von PHP Jabbers wurde eine SQL-Injection-Schwachstelle identifiziert. Durch unzureichende Bereinigung von Benutzereingaben in den Parametern für Sortierfunktionen kann ein nicht authentifizierter Angreifer eigene SQL-Befehle einschleusen. CVSS-Basiswert: 9.3 (Kritisch).

In PHP-Versionen ab 8.4.* vor 8.4.24 sowie ab 8.5.* vor 8.5.9 können Angreifer-kontrollierte Eingaben an die Funktion bccomp() zu einem Out-of-Bounds-Schreibzugriff mit Stack- und Heap-Korruption führen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: PHP auf Version 8.4.24 bzw. 8.5.9 oder neuer aktualisieren.

In Uncanny Automator Pro besteht eine PHP Object Injection, die bereits von Konten mit der Rolle Subscriber ausgelöst werden kann. Betroffen sind Versionen bis einschliesslich 7.3.0.6. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 7.3.0.6 aktualisieren.

In Miantang/IoT-PHP verarbeitet die Route POST /userlogin den Passwort-Parameter $_POST['pwd'] laut Quelle ungeprüft und fügt ihn direkt in eine rohe SQL-Abfrage ein, die über mysql_query() ausgeführt wird. Dadurch ist eine SQL-Injection möglich. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H – der Angriff ist über das Netz ohne Authentifizierung und ohne Benutzerinteraktion durchführbar.

Twig, die Template-Sprache für PHP, kompiliert bei template_from_string() ab Version 3.9.0 bis einschliesslich 3.26.0 eine innere Vorlage unter einem synthetisierten Namen __string_template__<hash>, der ausserhalb der konfigurierten SourcePolicy liegen kann. Dadurch lässt sich unter Umständen die Sandbox-Beschränkung von Twig umgehen. Betroffen sind PHP- und Symfony-Installationen, die Twig einsetzen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Predis ist ein PHP-Client für Redis und Valkey. Von Version 3.0.0-RC1 bis Version 3.3.0 besteht laut Quelle eine Schwachstelle in der Pipeline-Verarbeitung auf aggregierten Cluster- und Replication-Verbindungen. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Das login.php von Inventory-Management-System-PHP baut die Authentifizierungs-Query per direkter String-Verkettung aus rohen POST-Parametern zusammen, ohne die Eingaben zu bereinigen. Dadurch können Angreifer über die Parameter email und password eigenen SQL-Code einschleusen und die Anmeldelogik umgehen. CVSS-Basiswert: 9.8 (Kritisch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Das Plugin getgrav/grav-plugin-api setzt vor Version 1.0.18 in der Funktion requireNotSuperTarget() der UsersController.php den Geltungsbereich (Scope) von API-Keys nicht durch; das betrifft laut NVD sieben sicherheitsrelevante Endpunkte der Benutzerverwaltung. CVSS-Basiswert: 9.8 (Kritisch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Bezug zu Ransomware ist nicht bekannt.

Plumbing in Versionen bis einschliesslich 1.6 ist von einer unauthentifizierten PHP Object Injection betroffen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Laut CVSS-Vektor ist der Angriff über das Netz, ohne Rechte und ohne Nutzerinteraktion möglich. Betroffene Installationen sollten auf eine Version oberhalb der genannten Versionsspanne aktualisiert werden.

In Reisen in Versionen bis einschliesslich 1.4.1 besteht eine unauthentifizierte PHP Object Injection. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar und wirkt sich vollständig auf Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betroffene Installationen sollten anhand des NVD-Eintrags geprüft werden.

Fusion Builder ist für eine PHP Object Injection anfällig, die von Konten mit Contributor-Rechten ausgenutzt werden kann. Betroffen sind laut Quelle alle Versionen bis einschliesslich 3.15.4. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Broadcast Live Video ist in Versionen vor 7.1.3 für unauthentifizierte PHP Object Injection anfällig. Angreifende benötigen dafür keine gültige Anmeldung. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Version 7.1.3 oder neuer.

Das Plugin Integration for Salesforce and Contact Form 7, WPForms, Elementor, Formidable, Ninja Forms erlaubt eine PHP Object Injection ohne vorherige Authentifizierung. Betroffen sind laut Quelle alle Versionen bis einschliesslich 1.4.3. CVSS-Basiswert: 9.8 (Kritisch). Die Ausnutzung ist gemäss CVSS-Vektor über das Netzwerk ohne Rechte und ohne Benutzerinteraktion möglich. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In „Integration for Contact Form 7 and Constant Contact“ besteht eine PHP Object Injection, die ohne Authentifizierung ausgenutzt werden kann. Betroffen sind laut Quelle die Versionen bis einschliesslich 1.1.6. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Lücke als netzwerkbasiert, ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 1.1.6 aktualisieren.

Im Plugin Integration for Contact Form 7 HubSpot bis einschliesslich Version 1.3.7 besteht laut NVD eine PHP Object Injection, die ohne vorherige Authentifizierung ausgenutzt werden kann. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Erweiterung Integration for Mailchimp and Contact Form 7, WPForms, Elementor, Ninja Forms bis einschliesslich Version 1.1.8 besteht laut NVD eine PHP Object Injection. Sie ist ohne Authentifizierung ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Zugeordnete überwachte Produkte: PHP, Phoenix Contact. Empfohlene Massnahme: auf eine Version neuer als 1.1.8 aktualisieren.

In Happyforms besteht eine unauthentifizierte PHP Object Injection. Betroffen sind laut NVD alle Versionen bis einschliesslich 1.26.13. CVSS-Basiswert: 9.8 (Kritisch); der Angriff ist über das Netzwerk ohne Zugangsdaten und ohne Benutzerinteraktion möglich. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 1.26.13 aktualisieren.

Das WordPress-Plugin wpForo Forum erlaubt in Versionen bis einschliesslich 3.1.0 eine PHP Object Injection ohne vorherige Authentifizierung. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) beschreibt einen netzwerkbasierten Angriff ohne Authentifizierung und ohne Benutzerinteraktion mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 3.1.0 aktualisieren.

In WP Travel Engine besteht eine PHP Object Injection, die ohne Authentifizierung ausgenutzt werden kann. Betroffen sind laut Quelle die Versionen bis einschliesslich 6.7.12. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Lücke als netzwerkbasiert, ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 6.7.12 aktualisieren.

In OttoKit besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgelöst werden kann. Betroffen sind Versionen bis einschliesslich 1.1.27. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 1.1.27 aktualisieren.

In den Xerte Online Tools lässt sich in den Server-Einstellungen der Pfad zur Antivirus-Binärdatei auf einen PHP-Interpreter umbiegen. Angreifende können darüber PHP-Dateien hochladen und ausführen lassen, was zu Remote Code Execution führt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Elementra besteht laut Quellbeschreibung eine PHP Object Injection, die ohne vorherige Authentifizierung ausgenutzt werden kann. Betroffen sind die Versionen bis einschliesslich 1.0.9. Der CVSS-Vektor weist die Lücke als über das Netzwerk und ohne Benutzerinteraktion ausnutzbar aus, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In WooCommerce Product Filters in Versionen vor 2.0.6 besteht eine unauthentifizierte PHP Object Injection. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar und wirkt sich vollständig auf Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betroffene Installationen sollten anhand des NVD-Eintrags geprüft werden.

In JetEngine bis einschliesslich Version 3.8.9.1 besteht laut NVD eine PHP Object Injection, die sich mit Contributor-Rechten ausnutzen lässt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Zugeordnetes überwachtes Produkt: PHP. Empfohlene Massnahme: auf eine Version neuer als 3.8.9.1 aktualisieren.

In Thrive Apprentice besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgelöst werden kann. Betroffen sind Versionen vor 10.8.10.2. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 10.8.10.2 oder neuer aktualisieren.

CodeIgniter ist ein PHP-Full-Stack-Webframework. In den Versionen 4.3.0 bis 4.7.3 setzt der Query Builder bei deleteBatch() an where()-Bedingungen gebundene Werte ungeprüft in das generierte SQL ein und ignoriert dabei deren Escape-Flag, wodurch eine SQL-Injection möglich wird. CVSS-Basiswert: 9.4 (Kritisch).

Die Anwendung bus-ticket von Nur-Alam39 (keine veröffentlichten Versionen, letzter Commit 459cabdbeb99c00225b26e46e3c2c30ae1de7bad) enthält laut NVD eine SQL-Injection in bus_info.php. Der Parameter busid wird dabei ungeprüft übernommen; die Lücke ist ohne Authentifizierung ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Zugeordnetes überwachtes Produkt: PHP.

ClipBucket v5, eine Open-Source-Plattform zum Teilen von Videos, ist vor Version 5.5.3 - #129 über den Endpunkt actions/progress_video.php für Blind SQL Injection anfällig. Jeder nicht authentifizierte Nutzer kann die Lücke ausnutzen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 5.5.3 - #129 oder neuer aktualisieren.

Die Funktion checkCookie() in gui/login.php von IOTSmartHome baut eine Authentifizierungsabfrage der Form SELECT * FROM users WHERE ID='<dekodiertes lastLogin-Cookie>' auf, nachdem das vom Client gelieferte lastLogin-Cookie base64-dekodiert wurde. Der Cookie-Wert wird dabei ungeprüft in die SQL-Abfrage übernommen, was eine SQL-Injection ermöglicht. CVSS-Basiswert: 9.8 (Kritisch).

In FileThingie Version 2.5.7 kann ein entfernter Angreifer laut NVD über die Komponente ft2.php an sensible Informationen gelangen. CVSS-Basiswert: 9.9 (Kritisch).

In Booktics besteht eine PHP Object Injection, die ohne Authentifizierung ausgenutzt werden kann. Betroffen sind laut Quelle die Versionen bis einschliesslich 1.0.21. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Lücke als netzwerkbasiert, ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine Version neuer als 1.0.21 aktualisieren.

Im Novalnet Payment Gateway for WooCommerce besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgelöst werden kann. Betroffen sind Versionen bis einschliesslich 12.10.3. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine Version neuer als 12.10.3 aktualisieren.

In PHP führt eine unzureichende Maskierung von Backslashes in Angreifer-kontrollierten Parametern zu einer trivial ausnutzbaren SQL-Injection. Betroffen sind die Versionszweige 8.2 vor 8.2.33, 8.3 vor 8.3.33 und 8.4 vor 8.4.24. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: Update auf PHP 8.2.33, 8.3.33 bzw. 8.4.24 oder neuer einspielen.

In damasac thaipalliative_lte bis einschliesslich Version 3.0 besteht eine SQL-Injection-Schwachstelle. Entfernte Angreifer können laut Quelle über den Parameter idFormMain an /substudy/ezform.php (Zeile 14) beliebige SQL-Befehle ausführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Der Angriff ist ohne Authentifizierung und ohne Nutzerinteraktion über das Netz möglich.

Eine fehlende Zugriffsbeschränkung beim Hochladen von SCORM-Dateien in Koollab LMS erlaubte einem authentifizierten Modul-Designer, ein SCORM-Paket mit einer PHP-Webshell in ein öffentlich erreichbares Verzeichnis hochzuladen. Darüber liess sich laut Quelle Schadcode auf dem Server ausführen. CVSS-Basiswert: 9.9 (Kritisch).

Der Piwigo-Installer in Version 16.3.0 und früher akzeptiert POST-Parameter für die Datenbankkonfiguration und schreibt sie ohne ausreichende Bereinigung direkt in eine PHP-Konfigurationsdatei. Dadurch lassen sich beliebige Inhalte in die erzeugte PHP-Datei einbringen. CVSS-Basiswert: 9.8 (Kritisch).

Das SourceCodester Modern Loan Management System 1.0 ist laut Quellbeschreibung anfällig für SQL-Injection über den Parameter id im Skript /admin/delete_group.php. CVSS-Basiswert: 9.8 (Kritisch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Moderno vor Version 1.43 besteht laut NVD eine PHP Object Injection, die ohne vorherige Authentifizierung ausgenutzt werden kann. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

FreeScout ist ein freies Helpdesk- und Shared-Inbox-System auf Basis des PHP-Frameworks Laravel. In Versionen vor 1.8.224 ist der öffentliche Endpunkt POST /user-setup/{hash}/{invite_sent_at} (OpenController@userSetupSave) betroffen. CVSS-Basiswert: 9.4 (Kritisch).

In WWBN AVideo wird die Ablauffrist von Passwort-Wiederherstellungs-Token in userRecoverPassSave.json.php nicht validiert, wodurch Angreifer abgelaufene Token unbegrenzt zum Zurücksetzen von Kontopasswörtern verwenden können. CVSS-Basiswert: 9.8 (Kritisch). Betroffen ist laut Zuordnung der Hersteller PHP.

Die betroffene Anwendung verwendet laut NVD einen im Quellcode hartkodierten Session-Verschlüsselungsschlüssel, der bei der Installation nicht geändert wird. Dadurch können nicht authentifizierte Angreifer Administratorsitzungen fälschen. CVSS-Basiswert: 9.8 (Kritisch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Das WordPress-Plugin WatchMan-Site7 beschränkt bis Version 4.2.0 laut NVD den Zugriff auf seine Debugging-Konsole nicht, über die vom Nutzer übermittelter PHP-Code ausgeführt wird. Dadurch kann jeder authentifizierte Nutzer, etwa mit der Rolle Subscriber, eigenen Code auf dem Server ausführen. CVSS-Basiswert: 9.9 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.

PDF Signer 3.0 enthält eine Server-Side-Template-Injection-Schwachstelle. Nicht authentifizierte Angreifende können über den Cookie-Parameter CSRF-TOKEN PHP-Befehle einschleusen und dadurch beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Remote API deserialisiert bis Version 0.2 nutzerkontrollierte Eingaben, ohne die Anfrage zuvor zu authentifizieren. Dadurch können nicht authentifizierte Angreifer beliebige PHP-Objekte einschleusen (PHP Object Injection). CVSS-Basiswert: 9.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Coolify ist ein quelloffenes, selbst hostbares Werkzeug zur Verwaltung von Servern, Anwendungen und Datenbanken. Vor Version 4.0.0-beta.464 autorisiert die Livewire-Aktion cloneTo() in ResourceOperations.php nur die Quelle unzureichend. CVSS-Basiswert: 9.9 (Kritisch) – Angriff über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion, mit Scope-Wechsel und hoher Auswirkung auf Vertraulichkeit und Integrität. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Coolify 4.0.0-beta.464 oder neuer aktualisieren.

Cotonti 1.0.0 (Master-Branch, Commit f43f1fc3) ist anfällig für Cross-Site Request Forgery im Rechte-Handler der Administration. Betroffen ist die Rechte-Aktualisierung ('a=update') in system/admin/admin.rights.php, die ohne ausreichende Absicherung gegen untergeschobene Anfragen ausgeführt wird. Die Ausnutzung setzt eine Nutzerinteraktion voraus. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.