CVE-2026-45062
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
FrankenPHP to nowoczesny serwer aplikacji dla PHP, który w wersjach od 1.11.2 do przed 1.12.3 ma problem w funkcji splitPos() w pliku cgi.go. Błąd ten pozwala atakującemu na oszukanie serwera, aby traktował plik niebędący skryptem PHP jako skrypt PHP, co może prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Organizacje, które umożliwiają przesyłanie plików do serwera FrankenPHP, są narażone na poważne ryzyko zdalnego wykonania kodu, co może prowadzić do utraty danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację FrankenPHP do wersji 1.12.3 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wprowadzić dodatkowe środki zabezpieczające dotyczące przesyłania plików.
Inne podatności w FrankenPHP
Zobacz wszystkie- CVE-2026-85733Średnie
FrankenPHP to nowoczesny serwer aplikacji dla PHP. W wersjach przed 1.12.5 oficjalne obrazy Docker FrankenPHP dla Debian i Alpine zawierają domyślny plik /app/public/index.php wykonujący phpinfo(). Obraz pochodny, który nie nadpisze tego pliku zastępczego, udostępnia stronę diagnostyczną w środowisku produkcyjnym i może ujawnić zmienne środowiskowe używane jako sekrety, dyrektywy konfiguracji PHP, załadowane rozszerzenia, wersje oprogramowania i ścieżki systemowe. Obrazy zbudowane zgodnie z udokumentowanym wzorcem z własnym /app/public/index.php nie są podatne, a istniejące obrazy pochodne muszą zostać przebudowane lub uzupełnione o indeks aplikacji, aby usunąć ujawniony plik zastępczy. Problem naprawiono w wersji 1.12.5.
- CVE-2026-82416Wysokie
FrankenPHP to nowoczesny serwer aplikacji dla PHP. Przed wersją 1.12.5, w trybie worker, gdy rozszerzenie sesji jest ładowane jako moduł współdzielony, stan sesji PHP może być zachowany między żądaniami, co prowadzi do ujawnienia sesji między użytkownikami i możliwego przejęcia sesji.
Oryginalny opis (angielski, źródło NVD)
FrankenPHP is a modern application server for PHP. From version 1.11.2 to before version 1.12.3, the splitPos() function in cgi.go misuses golang.org/x/text/search with search.IgnoreCase when the request path contains a non-ASCII byte. Two distinct flaws in that fallback let an attacker mislead FrankenPHP into treating a non-.php file as a .php script. In any deployment where the attacker can place content into a file served by FrankenPHP (uploads, file storage, etc.), this can be escalated to remote code execution by crafting a URL whose path triggers either flaw. This issue has been patched in version 1.12.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS