CVE-2016-7480
KrytyczneStreszczenie
Implementacja deserializacji SplObjectStorage w PHP przed wersją 7.0.12 nie weryfikuje, czy klucz jest obiektem, co umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowane dane zserializowane.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania złośliwego kodu na serwerze lub spowodować awarię aplikacji, co może prowadzić do utraty dostępności usług.
Rekomendacja
Zaleca się aktualizację PHP do wersji 7.0.12 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
The SplObjectStorage unserialize implementation in ext/spl/spl_observer.c in PHP before 7.0.12 does not verify that a key is an object, which allows remote attackers to execute arbitrary code or cause a denial of service (uninitialized memory access) via crafted serialized data.