CVE-2026-6735
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W PHP w wersjach 8.2.* przed 8.2.31, 8.3.* przed 8.3.31, 8.4.* przed 8.4.21, 8.5.* przed 8.5.6, z powodu nieprawidłowej sanityzacji danych użytkownika, atakujący może skonstruować URL, który spowoduje wykonanie dowolnego kodu JavaScript (XSS) na maszynie ofiary podczas przeglądania strony statusu PHP-FPM.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników lub przekierować ich na złośliwe strony, co zagraża poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację PHP do wersji 8.2.31, 8.3.31, 8.4.21 lub 8.5.6 w zależności od używanej gałęzi.
Oryginalny opis (angielski, źródło NVD)
In PHP versions 8.2.* before 8.2.31, 8.3.* before 8.3.31, 8.4.* before 8.4.21, 8.5.* before 8.5.6, due to improper sanitation of user data, it allows an attacker to compose an URL, which will cause the target to execute arbitrary JavaScript code (XSS) on the target's machine when the target is viewing the PHP-FPM status page.