Katalog CVE
CVE-2024-2756
ŚrednieStreszczenie
Niekompletna poprawka dla CVE-2022-31629 w PHP. Atakujący sieciowy lub z tej samej witryny może ustawić standardowe niebezpieczne ciasteczko w przeglądarce ofiary, które jest traktowane jako __Host- lub __Secure- przez aplikacje PHP.
Ocena ryzyka
Atakujący może podszyć się pod bezpieczne ciasteczka, co może prowadzić do kradzieży sesji lub ataków CSRF.
Rekomendacja
Zaktualizuj PHP do wersji zawierającej pełną poprawkę. Wdróż dodatkowe mechanizmy walidacji ciasteczek.
Oryginalny opis (angielski, źródło NVD)
Due to an incomplete fix to CVE-2022-31629 https://github.com/advisories/GHSA-c43m-486j-j32p , network and same-site attackers can set a standard insecure cookie in the victim's browser which is treated as a __Host- or __Secure- cookie by PHP applications.