CVE-2026-62996
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Smarty to silnik szablonów dla PHP. Od wersji 5.0.0 do 5.8.4 obsługa nazw zasobów stream: nie ograniczała odpowiednio, które wrappery strumieni PHP i łańcuchy filtrów mogą być używane w szablonie, co pozwalało na użycie nazwy zasobu opakowanej w php://filter do odczytu zawartości dowolnych lokalnych plików dostępnych dla procesu PHP. Atakujący, który może tworzyć lub wpływać na referencję zasobu w szablonie, może wykorzystać to do ujawnienia wrażliwych plików poza zamierzonym zakresem. Problem naprawiono w wersji 5.8.4.
Ocena ryzyka
Ryzyko obejmuje możliwość odczytu dowolnych plików lokalnych, co może prowadzić do ujawnienia wrażliwych danych, takich jak hasła, klucze czy konfiguracje. Może to być wykorzystane do dalszych ataków.
Rekomendacja
Zaleca się aktualizację Smarty do wersji 5.8.4 lub nowszej oraz ograniczenie możliwości autoryzacji szablonów tylko dla zaufanych źródeł. Należy również regularnie przeglądać szablony pod kątem podejrzanych referencji.
Oryginalny opis (angielski, źródło NVD)
Smarty is a template engine for PHP, facilitating the separation of presentation (HTML/CSS) from application logic. From 5.0.0 until 5.8.4, Smarty's stream: resource-name handling does not adequately restrict which PHP stream wrappers and filter chains can be referenced from a template, allowing a php://filter-wrapped resource name to be used to read the contents of arbitrary local files accessible to the PHP process. An attacker able to author or influence a template's resource reference could exploit this to disclose sensitive file contents outside the intended template/config scope. This issue is fixed in version 5.8.4.