Frankenphp
Уязвимости
3
Эксплуатируемые
0
Макс. CVSS
8.9
Макс. EPSS
0.0058
Распределение по критичности
Критический
0
Высокий
3
Средний
0
Низкий
0
Затронутые диапазоны версий
1.11.2–1.12.3< 1.11.2
Также сопоставлено как (исходные строки): frankenphp
Топ уязвимостей
CVE-2026-24895FrankenPHP - это современный сервер приложений для PHP. До 1.11.2 логика CGI-расщепления пути FrankenPP неправильно обрабатывает символы Unicode во время преобразования корпуса. Логика вычисляет сплит-индекс (для поиска .php) на нижнюю копию пути запроса, но применяет этот индекс байт к первоначальному пути. Поскольку строки.ToLower() в Go может увеличить длину байт определенных символов UTF-8 (например, ? ?, ? , ?, при низком регистре), вычисленный индекс может не выровнен с правильным положением в исходной строке. Это приводит к неправильным Script_NAME и SCRIPT_FILENAME, что может привести к тому, что FrankenPHP выполняет файл, отличное от того, который предназначен URI. Эта уязвимость фиксируется в 1.11.2.
CVE-2026-24894FrankenPHP - это современный сервер приложений для PHP. До 1.11.2 при запуске FrankenPHP в рабочем режиме суперглобальный $_SESSION не корректно сбрасывается между запросами. Это позволяет последующему запросу, обрабатываемому тем же работником, получить доступ к данным $_SESSION предыдущего запроса (потенциально принадлежащим другому пользователю) до вызова сессии_start(). Эта уязвимость фиксируется в 1.11.2.
CVE-2026-45062FrankenPHP - это современный сервер приложений для PHP. От версии 1.11.2 до версии 1.12.3 функция splitPos() в cgi.go неправильно использует golang.org/x/text/search с помощью search.IgnoreCase, когда путь запроса содержит байт, не связанный с ASCII. Два различных недостатка в этом запасном месте позволили злоумышленнику ввести в заблуждение FrankenPP, рассматривая файл non-.php как сценарий .php. В любом развертывании, где злоумышленник может помещать контент в файл, обслуживаемый FrankenPP (загрузки, хранение файлов и т. Д.), Это может быть увеличено до удаленного выполнения кода путем создания URL-адреса, путь которого вызывает любой изъян. Этот вопрос был исправлен в версии 1.12.3.