CVE-2026-6104
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W PHP wersje 8.4.* przed 8.4.21 i 8.5.* przed 8.5.6, gdy nazwa kodowania zawierająca wbudowany bajt NUL jest przekazywana do mb_convert_encoding() lub powiązanych funkcji mbstring, kod błędnie zakłada, że gdy strncasecmp() zwraca 0, oznacza to, że ciągi mają tę samą długość. Może to prowadzić do odczytu poza zakresem pamięci globalnej, potencjalnie powodując awarię lub ujawnienie informacji.
Ocena ryzyka
Atakujący może spowodować awarię aplikacji lub wyciek poufnych danych z pamięci, co może naruszyć integralność i poufność systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację PHP do wersji 8.4.21 lub nowszej (dla gałęzi 8.4) oraz 8.5.6 lub nowszej (dla gałęzi 8.5).
Oryginalny opis (angielski, źródło NVD)
In PHP versions 8.4.* before 8.4.21 and 8.5.* before 8.5.6, when an encoding name containing an embedded NUL byte is passed to mb_convert_encoding() or related mbstring functions, the code incorrectly assumes that when strncasecmp() returns 0 it means the strings have the same length. This can lead to out-of-bounds read of global memory, potentially causing a crash or information disclosure or crash. Affected functions include mb_convert_encoding(), mb_detect_encoding(), mb_convert_variables(), and mb_detect_order(), as well as the mbstring.detect_order and mbstring.http_output INI settings.