CVE-2015-4642
KrytyczneStreszczenie
Funkcja escapeshellarg w PHP przed wersją 5.4.42, 5.5.x przed 5.5.26 oraz 5.6.x przed 5.6.10 na systemie Windows umożliwia zdalnym atakującym wykonanie dowolnych poleceń systemowych poprzez spreparowany ciąg przekazywany do aplikacji akceptującej argumenty wiersza poleceń dla wywołania funkcji system PHP.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych poleceń na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację PHP do najnowszej wersji, aby usunąć tę podatność oraz przeglądanie kodu aplikacji w celu zabezpieczenia przed podobnymi atakami.
Oryginalny opis (angielski, źródło NVD)
The escapeshellarg function in ext/standard/exec.c in PHP before 5.4.42, 5.5.x before 5.5.26, and 5.6.x before 5.6.10 on Windows allows remote attackers to execute arbitrary OS commands via a crafted string to an application that accepts command-line arguments for a call to the PHP system function.