CVE-2016-7132

Wysokie

Opublikowano: 12/09/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W PHP przed wersją 5.6.25 oraz 7.x przed wersją 7.0.10 występuje podatność, która pozwala zdalnym atakującym na wywołanie awarii aplikacji poprzez nieprawidłowy dokument XML w formacie wddxPacket. Problem ten występuje podczas wywołania funkcji wddx_deserialize, co prowadzi do dereferencji wskaźnika NULL.

Ocena ryzyka

Podatność ta może prowadzić do odmowy usługi, co wpływa na dostępność aplikacji. Istnieje również ryzyko innych nieokreślonych skutków, które mogą wpłynąć na bezpieczeństwo systemu.

Rekomendacja

Zaleca się aktualizację PHP do wersji 5.6.25 lub 7.0.10 oraz monitorowanie aplikacji pod kątem nieprawidłowych dokumentów XML w formacie wddxPacket.

Inne podatności w PHP (przed wersją 5.6.25 oraz 7.x przed wersją 7.0.10)

CVE-2016-7130Wysokie
Funkcja php_wddx_pop_element w PHP przed wersją 5.6.25 oraz 7.x przed wersją 7.0.10 umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez dereferencję wskaźnika NULL, co prowadzi do awarii aplikacji. Problem występuje w przypadku nieprawidłowej wartości binarnej base64 w dokumencie XML wddxPacket.

Oryginalny opis (angielski, źródło NVD)

ext/wddx/wddx.c in PHP before 5.6.25 and 7.x before 7.0.10 allows remote attackers to cause a denial of service (NULL pointer dereference and application crash) or possibly have unspecified other impact via an invalid wddxPacket XML document that is mishandled in a wddx_deserialize call, as demonstrated by a stray element inside a boolean element, leading to incorrect pop processing.