CVE-2026-37552
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W MixPHP Framework w wersjach 2.x do 2.2.17 występuje podatność na niebezpieczną deserializację. Serwer TCP sync-invoke odbiera dane z gniazda TCP i bezpośrednio przekazuje je do funkcji Opis\Closure\unserialize(), a następnie wykonuje wynik za pomocą call_user_func(). Brak uwierzytelnienia lub weryfikacji sygnatury na połączeniu TCP umożliwia atakującemu z dostępem do lokalnego portu TCP (serwer wiąże 127.0.0.1) wysłanie spreparowanej serializowanej domknięcia PHP w celu uzyskania zdalnego wykonania kodu.
Ocena ryzyka
Atakujący z dostępem do lokalnego portu TCP może zdalnie wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia kontroli nad aplikacją i potencjalnie całym systemem.
Rekomendacja
Należy natychmiast zaktualizować MixPHP Framework do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do portu TCP tylko do zaufanych hostów lub wyłączyć serwer sync-invoke.
Inne podatności w MixPHP Framework
Oryginalny opis (angielski, źródło NVD)
Unsafe deserialization vulnerability in MixPHP Framework 2.x thru 2.2.17. The sync-invoke TCP server (Server.php:87) receives data from a TCP socket, passes it directly to Opis\Closure\unserialize(), then executes the result via call_user_func(). No authentication or signature verification exists on the TCP connection. An attacker with access to the localhost TCP port (server binds 127.0.0.1) can send a crafted serialized PHP closure to achieve arbitrary code execution.