CVE-2026-54736
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność w frameworku Phalcon przed wersją 5.14.1 polega na tym, że funkcja Phalcon\Encryption\Crypt::decrypt porównuje dostarczony przez atakującego znacznik HMAC z nowo wyliczonym HMAC za pomocą porównania bajt po bajcie, które kończy się na pierwszej różnicy. Ta obserwowalna różnica czasowa umożliwia atakującemu odzyskanie prawidłowego znacznika bajt po bajcie i dołączenie go do wybranego IV i ciphertextu, przez co decrypt() akceptuje zmodyfikowaną treść jako autentyczną.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może przeprowadzić atak timingowy, aby ominąć weryfikację integralności danych, co może prowadzić do akceptacji sfałszowanych lub zmodyfikowanych danych szyfrowanych jako autentycznych, potencjalnie umożliwiając manipulację danymi lub eskalację uprawnień.
Rekomendacja
Należy natychmiast zaktualizować framework Phalcon do wersji 5.14.1 lub nowszej, która zawiera poprawkę eliminującą podatność na ataki timingowe w porównaniu HMAC.
Inne podatności w Phalcon
Zobacz wszystkie- CVE-2026-59989Krytyczne
Phalcon to wysokowydajny, pełnostackowy framework PHP. W wersji 5.15.0 i wcześniejszych, resolveFilter w phalcon/Mvc/View/Engine/Volt/Compiler.zep buduje filtr join, wstawiając surowe wartości separatora i tokenu tablicy do wygenerowanego PHP bez przepuszczania ich przez expression(). Atakujący, który może wpływać na źródło szablonu Volt, może umieścić łamiące cudzysłowy treści w argumencie join, wstrzyknąć PHP do skompilowanego pliku pamięci podręcznej i wykonać go, gdy Phalcon\Mvc\View\Engine\Volt::render() ładuje szablon. Problem naprawiono w wersji 5.16.0.
- CVE-2026-57584Wysokie
Podatność w frameworku Phalcon przed wersją 5.15.0 powoduje, że domyślny router MVC używa skompilowanego wzorca PCRE z zagnieżdżonym kwantyfikatorem, co umożliwia atakującemu wywołanie katastroficznego cofania (catastrophic backtracking) poprzez spreparowane żądanie URI zawierające powtarzające się ukośniki i znaki nowej linii. Prowadzi to do wyczerpania zasobów CPU lub niepowodzenia dopasowania trasy.
Oryginalny opis (angielski, źródło NVD)
Phalcon is a high-performance, full-stack PHP framework. Prior to 5.14.1, Phalcon\Encryption\Crypt::decrypt compares the attacker-supplied HMAC tag against the freshly computed HMAC using PHP/Zephir identity comparison, which lowers to a byte-wise comparison that returns early on the first differing byte. This observable timing discrepancy can allow an attacker to recover a valid tag byte-by-byte and attach it to a chosen IV and ciphertext so that decrypt() accepts tampered encrypted content as authentic. This issue is fixed in version 5.14.1.