CVE-2019-11049

ŚrednieCVSS 6.5

Opublikowano: 23/12/2019(UTC)Zaktualizowano: 17/08/2026(UTC)Przetłumaczono: 17/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

4.22%

Percentyl 90 - wyżej niż 90% wszystkich znanych CVE

Streszczenie

W PHP w wersjach 7.3.x poniżej 7.3.13 oraz 7.4.0 na systemie Windows, podczas podawania niestandardowych nagłówków do funkcji mail(), jeśli nagłówek jest podany małymi literami, może dojść do podwójnego zwolnienia pamięci (double-free).

Ocena ryzyka

Podwójne zwolnienie pamięci może prowadzić do awarii aplikacji lub potencjalnie do wykonania dowolnego kodu.

Rekomendacja

Zaktualizuj PHP do wersji 7.3.13 lub nowszej (lub 7.4.1+).

Oryginalny opis (angielski, źródło NVD)

In PHP versions 7.3.x below 7.3.13 and 7.4.0 on Windows, when supplying custom headers to mail() function, due to mistake introduced in commit 78f4b4a2dcf92ddbccea1bb95f8390a18ac3342e, if the header is supplied in lowercase, this can result in double-freeing certain memory locations.