CVE-2024-5458
ŚrednieStreszczenie
Błąd logiki w PHP w wersjach 8.1.* przed 8.1.29, 8.2.* przed 8.2.20, 8.3.* przed 8.3.8. Funkcje filtrujące, takie jak filter_var przy walidacji URL (FILTER_VALIDATE_URL), dla niektórych typów URL zwracają nieprawidłowe informacje o użytkowniku (część username+password URL).
Ocena ryzyka
Atakujący może wykorzystać tę podatność do ukrycia złośliwych danych w URL, co może prowadzić do ataków phishingowych lub ominięcia filtrów.
Rekomendacja
Zaktualizuj PHP do wersji 8.1.29, 8.2.20, 8.3.8 lub nowszej. Unikaj polegania na FILTER_VALIDATE_URL dla krytycznych decyzji bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
In PHP versions 8.1.* before 8.1.29, 8.2.* before 8.2.20, 8.3.* before 8.3.8, due to a code logic error, filtering functions such as filter_var when validating URLs (FILTER_VALIDATE_URL) for certain types of URLs the function will result in invalid user information (username + password part of URLs)