CVE-2012-3363

Krytyczne

Opublikowano: 13/02/2013(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

Zend_XmlRpc w Zend Framework 1.x przed wersją 1.11.12 oraz 1.12.x przed wersją 1.12.0 nieprawidłowo obsługuje klasy SimpleXMLElement, co pozwala zdalnym atakującym na odczyt dowolnych plików lub nawiązywanie połączeń TCP poprzez odniesienie do zewnętrznego bytu w elemencie DOCTYPE w żądaniu XML-RPC, co jest znane jako atak wstrzykiwania XXE.

Ocena ryzyka

Podatność ta może prowadzić do ujawnienia wrażliwych danych lub umożliwić atakującym nawiązywanie nieautoryzowanych połączeń, co stwarza poważne zagrożenie dla bezpieczeństwa systemów organizacji.

Rekomendacja

Zaleca się aktualizację Zend Framework do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie odpowiednich zabezpieczeń w celu ochrony przed atakami XXE.

Oryginalny opis (angielski, źródło NVD)

Zend_XmlRpc in Zend Framework 1.x before 1.11.12 and 1.12.x before 1.12.0 does not properly handle SimpleXMLElement classes, which allows remote attackers to read arbitrary files or create TCP connections via an external entity reference in a DOCTYPE element in an XML-RPC request, aka an XML external entity (XXE) injection attack.