Към съдържанието
Търсене

CVE-2025-14179: PHP Group PHP, инжекция

8.1

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

In PHP versions 8.2.* before 8.2.31, 8.3.* before 8.3.31, 8.4.* before 8.4.21, and 8.5.* before 8.5.6, the PDO Firebird driver improperly handles NUL bytes when preparing SQL queries. During token-by-token query construction, a string token containing a NUL byte is copied via strncat(), which stops at the NUL byte, dropping the closing quote and causing subsequent SQL tokens to be interpreted as part of the string. This allows SQL injection when attacker-controlled values are quoted via PDO::quote() and embedded in SQL statements.

Засегнати продукти

  • PHP Group PHP: 8.2.* преди 8.2.31; 8.3.* преди 8.3.31; 8.4.* преди 8.4.21; 8.5.* преди 8.5.6
  • Red Hat: още 6 продукта, добавени от Red Hat

    Red Hat Enterprise Linux 10, Red Hat Enterprise Linux 6, Red Hat Enterprise Linux 7, Red Hat Enterprise Linux 8, Red Hat Enterprise Linux 9, Red Hat Hardened Images

Вид слабост

История

  • 10 май 2026 Публикувано

Други уязвимости в PHP Group PHP

Първоизточници

CVE-2025-14179: PHP Group PHP, инжекция | freedomonline.bg