CVE-2025-14180
ŚrednieStreszczenie
Podatność w sterowniku PDO PostgreSQL dla PHP powoduje, że nieprawidłowa sekwencja znaków (np. \x99) w parametrze przygotowanego zapytania może prowadzić do błędów cytowania, gdy włączona jest opcja PDO::ATTR_EMULATE_PREPARES. Problem dotyczy wersji PHP 8.1.x przed 8.1.34, 8.2.x przed 8.2.30, 8.3.x przed 8.3.29, 8.4.x przed 8.4.16 oraz 8.5.x przed 8.5.1.
Ocena ryzyka
Ryzyko polega na możliwym nieprawidłowym działaniu zapytań SQL, co może prowadzić do błędów aplikacji lub potencjalnego wstrzyknięcia SQL, jeśli dane wejściowe nie są odpowiednio filtrowane.
Rekomendacja
Zaleca się natychmiastową aktualizację PHP do wersji 8.1.34, 8.2.30, 8.3.29, 8.4.16 lub 8.5.1 w zależności od używanej gałęzi. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz opcję PDO::ATTR_EMULATE_PREPARES.
Oryginalny opis (angielski, źródło NVD)
In PHP versions 8.1.* before 8.1.34, 8.2.* before 8.2.30, 8.3.* before 8.3.29, 8.4.* before 8.4.16, 8.5.* before 8.5.1 when using the PDO PostgreSQL driver with PDO::ATTR_EMULATE_PREPARES enabled, an invalid character sequence (such as \x99) in a prepared statement parameter may cause the quoting fu