Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] PHP opravuje 3 zranitelnosti
PHP verzemi 8.4.10, 8.3.23, 8.2.29 a 8.1.33 opravuje 3 zranitelnosti [1][2][3]. Red Hat zatím opravy nevydal a Debian vydal opravu pouze pro nestabilní a testovací vydání [4][5][6][7][8][9]. Na Gentoo jsou opravené verze kromě 8.1.33 dostupné jako testing [13]. Jednotlivá vydání Ubuntu a jejich opravené verze [10][11][12]: Jammy - 8.1.2-1ubuntu2.22 Noble - 8.3.6-0ubuntu0.24.04.5 Plucky - 8.4.5-1ubuntu1.1
Neautentizovanému vzdálenému útočníkovi je umožněno způsobit DoS útok na server a případně na něj provést SQL útok odesláním speciálně vytvořené hodnoty [1].
Zranitelnost se nachází v produktech:
- Windows:PHP; >=8.1, <8.1.33; >=8.2, <8.2.29; >=8.3, <8.3.23; >=8.4, <8.4.10;
- PHP; >=8.1, <8.1.33; >=8.2, <8.2.29; >=8.3, <8.3.23; >=8.4, <8.4.10;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-1735 na cve.org, NVD
- CWE-476: NULL Pointer Dereference na cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 7. 2025.
Neautentizovanému vzdálenému útočníkovi je potenciálně umožněno provést DoS útok zasláním speciálně vytvořené SOAP zprávy. K zranitelnosti byl zveřejněn PoC skript, který lze nalézt na [2].
Zranitelnost se nachází v produktech:
- Windows:PHP; >=8.1, <8.1.33; >=8.2, <8.2.29; >=8.3, <8.3.23; >=8.4, <8.4.10;
- PHP; >=8.1, <8.1.33; >=8.2, <8.2.29; >=8.3, <8.3.23; >=8.4, <8.4.10;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-6491 na cve.org, NVD
- CWE-476: NULL Pointer Dereference na cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 7. 2025.
Neautentizovanému vzdálenému útočníkovi je umožněno provést SSRF útok zadáním speciálně vytvořeného doménového jména. K zranitelnosti byl zveřejněn PoC skript, který lze nalézt na [3].
Zranitelnost se nachází v produktech:
- Windows:PHP; >=8.1, <8.1.33; >=8.2, <8.2.29; >=8.3, <8.3.23; >=8.4, <8.4.10;
- PHP; >=8.1, <8.1.33; >=8.2, <8.2.29; >=8.3, <8.3.23; >=8.4, <8.4.10;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2025-1220 na cve.org, NVD
- CWE-918: Server-Side Request Forgery (SSRF) na cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 7. 2025.
Odkazy
- [1] https://github.com/php/php-src/security/advisories/GHSA-hrwm-9436-5mv3
- [2] https://github.com/php/php-src/security/advisories/GHSA-453j-q27h-5p8x
- [3] https://github.com/php/php-src/security/advisories/GHSA-3cr5-j632-f35r
- [4] https://access.redhat.com/security/cve/CVE-2025-1220
- [5] https://access.redhat.com/security/cve/CVE-2025-6491
- [6] https://access.redhat.com/security/cve/CVE-2025-1735
- [7] https://security-tracker.debian.org/tracker/CVE-2025-1220
- [8] https://security-tracker.debian.org/tracker/CVE-2025-6491
- [9] https://security-tracker.debian.org/tracker/CVE-2025-1735
- [10] https://ubuntu.com/security/CVE-2025-1220
- [11] https://ubuntu.com/security/CVE-2025-6491
- [12] https://ubuntu.com/security/CVE-2025-1735
- [13] https://packages.gentoo.org/packages/dev-lang/php
Za CESNET, z.s.p.o. Martin Krajči dne 25. 7. 2025.