CVE-2026-82416
WysokieCVSS 7.7Streszczenie
FrankenPHP to nowoczesny serwer aplikacji dla PHP. Przed wersją 1.12.5, w trybie worker, gdy rozszerzenie sesji jest ładowane jako moduł współdzielony, stan sesji PHP może być zachowany między żądaniami, co prowadzi do ujawnienia sesji między użytkownikami i możliwego przejęcia sesji.
Ocena ryzyka
Ryzyko obejmuje ujawnienie sesji między użytkownikami, możliwość przejęcia sesji oraz sporadyczne wylogowania, co może naruszyć poufność i integralność sesji użytkowników.
Rekomendacja
Zaleca się aktualizację FrankenPHP do wersji 1.12.5 lub nowszej, która zawiera poprawkę dla tego problemu.
Inne podatności w FrankenPHP
Zobacz wszystkie- CVE-2026-85733Średnie
FrankenPHP to nowoczesny serwer aplikacji dla PHP. W wersjach przed 1.12.5 oficjalne obrazy Docker FrankenPHP dla Debian i Alpine zawierają domyślny plik /app/public/index.php wykonujący phpinfo(). Obraz pochodny, który nie nadpisze tego pliku zastępczego, udostępnia stronę diagnostyczną w środowisku produkcyjnym i może ujawnić zmienne środowiskowe używane jako sekrety, dyrektywy konfiguracji PHP, załadowane rozszerzenia, wersje oprogramowania i ścieżki systemowe. Obrazy zbudowane zgodnie z udokumentowanym wzorcem z własnym /app/public/index.php nie są podatne, a istniejące obrazy pochodne muszą zostać przebudowane lub uzupełnione o indeks aplikacji, aby usunąć ujawniony plik zastępczy. Problem naprawiono w wersji 1.12.5.
- CVE-2026-45062Wysokie
FrankenPHP to nowoczesny serwer aplikacji dla PHP, który w wersjach od 1.11.2 do przed 1.12.3 ma problem w funkcji splitPos() w pliku cgi.go. Błąd ten pozwala atakującemu na oszukanie serwera, aby traktował plik niebędący skryptem PHP jako skrypt PHP, co może prowadzić do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
FrankenPHP is a modern application server for PHP. Prior to 1.12.5, FrankenPHP worker mode can retain PHP session state between requests when the session extension is loaded as a shared module and is unavailable through HAVE_PHP_SESSION at compile time. In this build configuration, frankenphp_reset_session_state() is compiled out, PS(id) can survive a request boundary, and a subsequent session_start() can ignore the new request's cookie because an identifier is already present. Under concurrent requests, session_id() can therefore return another client's identifier or a stale identifier from a previous request on the same worker thread, causing cross-user session exposure, possible session hijacking, and intermittent logout behavior. Builds with the session extension statically linked, including the official static binaries and Docker images, are not affected. This issue is fixed in version 1.12.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS