CVE-2015-6835
KrytyczneStreszczenie
Deserializator sesji w PHP przed wersją 5.4.45, 5.5.x przed 5.5.29 oraz 5.6.x przed 5.6.13 niewłaściwie obsługuje wiele wywołań php_var_unserialize, co pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (use-after-free) poprzez spreparowaną zawartość sesji.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu oraz danych użytkowników.
Rekomendacja
Zaleca się aktualizację PHP do najnowszej wersji, aby usunąć tę podatność oraz zapewnić bezpieczeństwo aplikacji.
Oryginalny opis (angielski, źródło NVD)
The session deserializer in PHP before 5.4.45, 5.5.x before 5.5.29, and 5.6.x before 5.6.13 mishandles multiple php_var_unserialize calls, which allow remote attackers to execute arbitrary code or cause a denial of service (use-after-free) via crafted session content.