CVE-2017-9841
KrytyczneStreszczenie
W PHPUnit przed wersją 4.8.28 oraz 5.x przed wersją 5.6.3 istnieje podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez dane POST HTTP zaczynające się od ciągu "<?php ". Przykład ataku dotyczy witryny z publicznie dostępnym folderem /vendor.
Ocena ryzyka
Podatność ta może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji oraz danych użytkowników. Atakujący mogą uzyskać pełną kontrolę nad serwerem, co może skutkować utratą danych lub kompromitacją systemu.
Rekomendacja
Zaleca się aktualizację PHPUnit do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, należy ograniczyć dostęp do folderu /vendor oraz monitorować logi serwera w celu wykrycia potencjalnych prób ataków.
Oryginalny opis (angielski, źródło NVD)
Util/PHP/eval-stdin.php in PHPUnit before 4.8.28 and 5.x before 5.6.3 allows remote attackers to execute arbitrary PHP code via HTTP POST data beginning with a "<?php " substring, as demonstrated by an attack on a site with an exposed /vendor folder, i.e., external access to the /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php URI.