CVE-2015-4602
KrytyczneStreszczenie
Funkcja __PHP_Incomplete_Class w PHP przed wersją 5.4.40, 5.5.x przed 5.5.24 oraz 5.6.x przed 5.6.8 umożliwia zdalnym atakującym spowodowanie awarii aplikacji lub potencjalne wykonanie dowolnego kodu poprzez nieoczekiwany typ danych, co jest związane z problemem 'confuzji typów'.
Ocena ryzyka
Podatność ta może prowadzić do awarii aplikacji, co wpływa na dostępność usług oraz może umożliwić atakującym wykonanie nieautoryzowanego kodu, co stanowi poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację PHP do najnowszej wersji, aby usunąć tę podatność oraz przeprowadzenie audytu aplikacji w celu identyfikacji i naprawy potencjalnych problemów związanych z typami danych.
Oryginalny opis (angielski, źródło NVD)
The __PHP_Incomplete_Class function in ext/standard/incomplete_class.c in PHP before 5.4.40, 5.5.x before 5.5.24, and 5.6.x before 5.6.8 allows remote attackers to cause a denial of service (application crash) or possibly execute arbitrary code via an unexpected data type, related to a "type confusion" issue.