CVE-2026-57584
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Podatność w frameworku Phalcon przed wersją 5.15.0 powoduje, że domyślny router MVC używa skompilowanego wzorca PCRE z zagnieżdżonym kwantyfikatorem, co umożliwia atakującemu wywołanie katastroficznego cofania (catastrophic backtracking) poprzez spreparowane żądanie URI zawierające powtarzające się ukośniki i znaki nowej linii. Prowadzi to do wyczerpania zasobów CPU lub niepowodzenia dopasowania trasy.
Ocena ryzyka
Atakujący może zdalnie przeciążyć serwer, powodując odmowę usługi (DoS) poprzez wysłanie specjalnie skonstruowanego żądania HTTP, co może zakłócić działanie aplikacji i wpłynąć na dostępność usług.
Rekomendacja
Należy niezwłocznie zaktualizować framework Phalcon do wersji 5.15.0 lub nowszej, która zawiera poprawkę eliminującą podatność na katastroficzne cofanie.
Inne podatności w Phalcon
Zobacz wszystkie- CVE-2026-59989Krytyczne
Phalcon to wysokowydajny, pełnostackowy framework PHP. W wersji 5.15.0 i wcześniejszych, resolveFilter w phalcon/Mvc/View/Engine/Volt/Compiler.zep buduje filtr join, wstawiając surowe wartości separatora i tokenu tablicy do wygenerowanego PHP bez przepuszczania ich przez expression(). Atakujący, który może wpływać na źródło szablonu Volt, może umieścić łamiące cudzysłowy treści w argumencie join, wstrzyknąć PHP do skompilowanego pliku pamięci podręcznej i wykonać go, gdy Phalcon\Mvc\View\Engine\Volt::render() ładuje szablon. Problem naprawiono w wersji 5.16.0.
- CVE-2026-54736Wysokie
Podatność w frameworku Phalcon przed wersją 5.14.1 polega na tym, że funkcja Phalcon\Encryption\Crypt::decrypt porównuje dostarczony przez atakującego znacznik HMAC z nowo wyliczonym HMAC za pomocą porównania bajt po bajcie, które kończy się na pierwszej różnicy. Ta obserwowalna różnica czasowa umożliwia atakującemu odzyskanie prawidłowego znacznika bajt po bajcie i dołączenie go do wybranego IV i ciphertextu, przez co decrypt() akceptuje zmodyfikowaną treść jako autentyczną.
Oryginalny opis (angielski, źródło NVD)
Phalcon is a high-performance, full-stack PHP framework. Prior to 5.15.0, every Phalcon MVC application built with a default router registers a built-in route whose compiled PCRE pattern contains the nested quantifier (/.), and the same construct is produced by the /:params placeholder and the CLI router. Phalcon\Mvc\Router::handle() matches this pattern against the attacker-controlled request URI on every request, so a crafted path such as one containing repeated slashes followed by decoded newlines can trigger catastrophic backtracking and cause CPU exhaustion or route-matching failure. This issue is fixed in version 5.15.0.