CVE-2024-44902
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
Podatność deserializacji w ThinkPHP w wersjach od 6.1.3 do 8.0.4 umożliwia atakującym zdalne wykonanie dowolnego kodu. Problem wynika z niebezpiecznego przetwarzania danych wejściowych podczas deserializacji.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem, wykraść dane lub zainstalować złośliwe oprogramowanie, co prowadzi do naruszenia poufności, integralności i dostępności systemu.
Rekomendacja
Należy natychmiast zaktualizować ThinkPHP do najnowszej dostępnej wersji, która zawiera poprawkę bezpieczeństwa. Dodatkowo zaleca się ograniczenie dostępu do aplikacji oraz wdrożenie mechanizmów walidacji danych wejściowych.
Inne podatności w ThinkPHP
Zobacz wszystkie- CVE-2025-63888Krytyczne
Funkcja read w pliku thinkphp\library\think\template\driver\File.php w ThinkPHP 5.0.24 zawiera podatność na zdalne wykonanie kodu.
- CVE-2019-9082WysokieAktywnie exploitowane
ThinkPHP przed wersją 3.2.4, używany w Open Source BMS v1.1.1 i innych produktach, umożliwia zdalne wykonanie poleceń poprzez public//?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]= po którym następuje polecenie.
Oryginalny opis (angielski, źródło NVD)
A deserialization vulnerability in Thinkphp v6.1.3 to v8.0.4 allows attackers to execute arbitrary code.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS