CVE-2026-94108

ŚrednieCVSS 6.5

Opublikowano: 20/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 20/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

getID3 do wersji 1.9.26 zawiera podatność na wstrzyknięcie zewnętrznych encji XML w funkcji pomocniczej XML2array, która nie wyłącza poprawnie ładowania encji w PHP przed wersją 8.0. Atakujący mogą stworzyć złośliwe metadane XML w plikach multimedialnych, aby ujawnić lokalne pliki, przeprowadzić atak SSRF lub spowodować odmowę usługi przez ekspansję encji.

Ocena ryzyka

Ryzyko obejmuje ujawnienie poufnych plików, ataki SSRF na wewnętrzne zasoby oraz potencjalne przerwy w działaniu usług.

Rekomendacja

Zaleca się aktualizację getID3 do wersji nowszej niż 1.9.26 oraz upewnienie się, że środowisko PHP jest w wersji 8.0 lub nowszej, gdzie domyślnie wyłączone jest ładowanie zewnętrznych encji.

Inne podatności w getID3

CVE-2026-94106Wysokie
W getID3 przed wersją 1.9.26 występuje podatność wstrzyknięcia poleceń systemu operacyjnego w procedurach wywołujących powłokę, które nie escapują nazw plików w ciągach poleceń. Atakujący mogą tworzyć złośliwe nazwy plików zawierające metaznaki powłoki, aby wstrzyknąć dowolne polecenia wykonywane z uprawnieniami procesu osadzającego getID3.

Oryginalny opis (angielski, źródło NVD)

getID3 through 1.9.26 contains an XML external entity injection vulnerability in the XML2array helper function that fails to properly disable entity loading on PHP before 8.0. Attackers can craft malicious XML metadata in media files to disclose local files, perform server-side request forgery, or cause denial of service through entity expansion.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS