Все бюллетени/p10/ALT-PU-2024-6566-3
ALT-PU-2024-6566-3

Обновление пакета php8.1 в ветке p10

Версия8.1.28-alt1
Задание#345136
Опубликовано2026-02-04
Макс. серьёзностьCRITICAL
Серьёзность:

Закрытые проблемы (6)

BDU:2024-03215
CRITICAL9.1

Уязвимость функции password_verify() интерпретатора языка программирования PHP, позволяющая нарушителю обойти процесс аутентификации и получить несанкционированный доступ к веб-приложению

Опубликовано: 2024-04-24Изменено: 2025-09-10
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CVSS 2.0КРИТИЧЕСКАЯ 9.4
CVSS:2.0/AV:N/AC:L/Au:N/C:C/I:C/A:N
Ссылки
BDU:2024-03785
MEDIUM6.5

Уязвимость интерпретатора языка программирования PHP, связанная с ошибочной обработкой файлов cookie, позволяющая нарушителю перехватить сеанс и получить несанкционированный доступ к защищаемой информации

Опубликовано: 2024-05-17Изменено: 2025-05-06
CVSS 3.xСРЕДНЯЯ 6.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
CVSS 2.0СРЕДНЯЯ 6.4
CVSS:2.0/AV:N/AC:L/Au:N/C:P/I:P/A:N
Ссылки
BDU:2025-11445
CRITICAL9.4

Уязвимость функции proc_open() интерпретатора языка программирования PHP, позволяющая нарушителю выполнить произвольные команды

Опубликовано: 2025-09-22Изменено: 2025-10-02
CVSS 3.xКРИТИЧЕСКАЯ 9.4
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
CVSS 2.0КРИТИЧЕСКАЯ 9.7
CVSS:2.0/AV:N/AC:L/Au:N/C:C/I:C/A:P
Ссылки
CVE-2024-1874
CRITICAL9.4

In PHP versions 8.1.* before 8.1.28, 8.2.* before 8.2.18, 8.3.* before 8.3.5, when using proc_open() command with array syntax, due to insufficient escaping, if the arguments of the executed command are controlled by a malicious user, the user can supply arguments that would execute arbitrary commands in Windows shell.

Опубликовано: 2024-04-29Изменено: 2025-11-04
CVSS 3.xКРИТИЧЕСКАЯ 9.4
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
Ссылки
CVE-2024-2756
MEDIUM6.5

Due to an incomplete fix to CVE-2022-31629 https://github.com/advisories/GHSA-c43m-486j-j32p , network and same-site attackers can set a standard insecure cookie in the victim's browser which is treated as a __Host- or __Secure- cookie by PHP applications.

Опубликовано: 2024-04-29Изменено: 2026-04-15
CVSS 3.xСРЕДНЯЯ 6.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
Ссылки
CVE-2024-3096
MEDIUM6.5

In PHP  version 8.1.* before 8.1.28, 8.2.* before 8.2.18, 8.3.* before 8.3.5, if a password stored with password_hash() starts with a null byte (\x00), testing a blank string as the password via password_verify() will incorrectly return true.

Опубликовано: 2024-04-29Изменено: 2025-11-04
CVSS 3.xСРЕДНЯЯ 6.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Ссылки