CVE-2026-42552

Wysokie

Opublikowano: 13/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Framework Flight dla PHP przed wersją 3.18.1 ma podatność, w której domyślny handler błędów Engine::_error() ujawnia pełne informacje o wyjątkach w odpowiedzi HTTP 500, w tym absolutne ścieżki systemu plików.

Ocena ryzyka

Wdrożenia produkcyjne mogą ujawniać wewnętrzne ścieżki oraz sekrety, co daje atakującym możliwość wykorzystania innych słabości, takich jak LFI czy traversowanie ścieżek.

Rekomendacja

Zaleca się aktualizację do wersji 3.18.1 lub nowszej, aby usunąć tę podatność.

Inne podatności w Flight framework for PHP

CVE-2026-42551Wysokie
Framework Flight dla PHP przed wersją 3.18.1 ma podatność, która pozwala na niekontrolowane honorowanie nagłówka X-HTTP-Method-Override oraz parametru $_REQUEST['_method'] dla dowolnych metod HTTP, w tym bezpiecznych, takich jak GET. To może prowadzić do eskalacji CSRF oraz obejścia zabezpieczeń opartych na niebezpiecznych metodach.

Oryginalny opis (angielski, źródło NVD)

Flight is an extensible micro-framework for PHP. Prior to 3.18.1, the default error handler Engine::_error() writes the full exception message, exception code, and stack trace (including absolute filesystem paths) directly into the HTTP 500 response, with no debug gating. Production deployments leak internal paths, any secret interpolated into an exception message, and full module structure — giving attackers primitives for chaining other weaknesses (LFI, path traversal). This vulnerability is fixed in 3.18.1.