Исходное описание
The import_request_variables function in PHP 4.0.7 through 4.4.6, and 5.x before 5.2.2, when called without a prefix, does not prevent the (1) GET, (2) POST, (3) COOKIE, (4) FILES, (5) SERVER, (6) SESSION, and other superglobals from being overwritten, which allows remote attackers to spoof source IP address and Referer data, and have other unspecified impact. NOTE: it could be argued that this is a design limitation of PHP and that only the misuse of this feature, i.e. implementation bugs in applications, should be included in CVE. However, it has been fixed by the vendor.
Затронутое ПО
- PHP = 5.0.2= 4.3.5= 5.1.3= 4.1.1= 4.0.7= 4.4.6 точное совпадение
Подробности
- Опубликовано
- 2007-03-11
- Последнее изменение
- 2024-08-07
- Вектор CVSS
AV:N/AC:M/Au:N/C:P/I:P/A:P
Ссылки
- cve.org/CVE-2007-1396
- nvd.nist.gov/vuln/detail/CVE-2007-1396
- www.securityfocus.com/archive/1/462263/100/0/threaded
- www.securityfocus.com/archive/1/462800/100/0/threaded
- secunia.com/advisories/26048
- www.securityfocus.com/bid/22886
- us2.php.net/releases/4_4_7.php
- securityreason.com/securityalert/2406
- www.securityfocus.com/archive/1/462457/100/0/threaded
- www.securityfocus.com/archive/1/462658/100/0/threaded
- us2.php.net/releases/5_2_2.php
- lists.opensuse.org/opensuse-security-announce/2007-07/msg00006.html
Отслеживайте эти версии на своих серверах
InfraGuard собирает версии установленного ПО со всех серверов и отмечает версии с известными уязвимостями. Self-hosted — данные не покидают вашу сеть.
Этот продукт использует данные NVD API, но не одобрен и не сертифицирован NVD. CVE® — зарегистрированный товарный знак The MITRE Corporation; записи CVE используются в соответствии с Условиями использования CVE Program.