Zend Framework
Уязвимости
27
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.75313
Распределение по критичности
Критический
11
Высокий
4
Средний
12
Низкий
0
Затронутые диапазоны версий
1.0.0–1.11.121.10.0–1.10.9< 1.12.12< 1.12.4< 1.12.7< 1.12.9< 2.0.1< 2.2.7≤ 1.12.15≤ 1.12.19≤ 1.12.3≤ 1.12.4≤ 1.12.7≤ 2.4.10≤ 2.4.7≤ 3.1.3
Также сопоставлено как (исходные строки): zend_framework,laminas-http
Топ уязвимостей
CVE-2021-3007Laminas Project laminas-http до версии 2.14.2 и Zend Framework 3.0.0 имеют уязвимость десериализации, которая может привести к удаленному выполнению кода, если содержимое контролируется, что связано с методом __destruct класса Zend\Http\Response\Stream в Stream.php. ПРИМЕЧАНИЕ: Zend Framework больше не поддерживается мейнтейнером. ПРИМЕЧАНИЕ: поставщик laminas-http считает это «уязвимостью в самом языке PHP», но добавил определенные проверки типов в качестве способа предотвращения эксплуатации в (нерекомендуемых) случаях использования, когда данные, предоставленные злоумышленником, могут быть десериализованы.
CVE-2020-29312Проблема, найденная в Zend Framework v.3.1.3 и ранее, позволяет удаленному злоумышленнику выполнять произвольный код через функцию unserialize. Примечание: это было оспорено третьими сторонами как неполное и неверное. У фреймворка нет версии, превышающей 2.x.x, и он был устаревшим в начале 2020 года.
CVE-2016-6233Методы (1) order и (2) group в Zend_Db_Select в Zend Framework до версии 1.12.19 могут позволить удаленным злоумышленникам проводить SQL-инъекции через векторы, связанные с использованием символьного шаблона [\w]* в регулярном выражении.
CVE-2016-4861Методы (1) order и (2) group в Zend_Db_Select в Zend Framework до версии 1.12.20 могут позволить удаленным злоумышленникам проводить SQL-инъекции, используя неудаление комментариев из SQL-запроса перед проверкой.
CVE-2016-10034Функция setFrom в адаптере Sendmail в компоненте zend-mail до 2.4.11, 2.5.x, 2.6.x и 2.7.x до 2.7.2 и Zend Framework до 2.4.11 может позволить удаленным злоумышленникам передавать дополнительные параметры в команду mail и, следовательно, выполнять произвольный код через " (обратную косую черту двойную кавычку) в специально созданном адресе электронной почты.
CVE-2015-7695PDO-адаптеры в Zend Framework до версии 1.12.16 не фильтруют нулевые байты в SQL-запросах, что позволяет удаленным злоумышленникам выполнять произвольные SQL-команды через специально созданный запрос.
CVE-2014-8089Уязвимость SQL-инъекции в Zend Framework до 1.12.9, 2.2.x до 2.2.8 и 2.3.x до 2.3.3 при использовании расширения sqlsrv PHP позволяет удаленным злоумышленникам выполнять произвольные SQL-команды через нулевой байт.
CVE-2014-4914Функция Zend_Db_Select::order в Zend Framework до версии 1.12.7 неправильно обрабатывает круглые скобки, что позволяет удаленным злоумышленникам проводить атаки путем SQL-инъекций через неуказанные векторы.
CVE-2011-1939SQL-инъекция в Zend Framework 1.10.x до 1.10.9 и 1.11.x до 1.11.6 при использовании кодировок, несовместимых с ASCII, в сочетании с PDO_MySql в PHP до 5.3.6.
CVE-2015-1555Zend/Session/SessionManager в Zend Framework 2.2.x до версии 2.2.9, 2.3.x до версии 2.3.4 позволяет удаленным злоумышленникам создавать действительные сеансы без использования валидаторов сеансов.
CVE-2012-3363Zend_XmlRpc в Zend Framework 1.x до 1.11.12 и 1.12.x до 1.12.0 неправильно обрабатывает классы SimpleXMLElement, что позволяет удаленным злоумышленникам читать произвольные файлы или создавать TCP-соединения через внешнюю ссылку на сущность в элементе DOCTYPE в запросе XML-RPC, также известную как атака внедрения XML внешних сущностей (XXE).
CVE-2015-1786Уязвимость межсайтовой подделки запросов (CSRF) в Zend/Validator/Csrf в Zend Framework 2.3.x до 2.3.6 через нулевые или неправильно сформированные идентификаторы токенов.
CVE-2015-5723Doctrine Annotations до версии 1.2.7, Cache до версии 1.3.2 и 1.4.x до 1.4.2, Common до версии 2.4.3 и 2.5.x до 2.5.1, ORM до версии 2.4.8 или 2.5.x до 2.5.1, MongoDB ODM до версии 1.0.2 и MongoDB ODM Bundle до версии 3.0.1 используют права записи для всех пользователей для каталогов кеша, что позволяет локальным пользователям выполнять произвольный PHP-код с дополнительными привилегиями, используя приложение с установленной маской umask в 0 и выполняющее записи кеша как код.
CVE-2015-7503Zend Framework до 2.4.9, zend-framework/zend-crypt 2.4.x до 2.4.9 и 2.5.x до 2.5.2 позволяет удаленным злоумышленникам восстановить закрытый ключ RSA.
CVE-2014-2685Класс GenericConsumer в компоненте Consumer в ZendOpenId до 2.0.2 и класс Zend_OpenId_Consumer в Zend Framework 1 до 1.12.4 нарушают протокол OpenID 2.0, обеспечивая только то, что подписано хотя бы одно поле, что позволяет удаленным злоумышленникам обходить аутентификацию, используя утверждение от поставщика OpenID.
CVE-2015-5161Zend_Xml_Security::scan в ZendXml до версии 1.0.1 и Zend Framework до версий 1.12.14, 2.x до 2.4.6 и 2.5.x до 2.5.2, при работе под управлением PHP-FPM в многопоточной среде, позволяет удаленным злоумышленникам обходить проверки безопасности и проводить атаки XML external entity (XXE) и XML entity expansion (XEE) через многобайтовые закодированные символы.
CVE-2014-2682Zend Framework 1 (ZF1) до 1.12.4, Zend Framework 2 до 2.1.6 и 2.2.x до 2.2.6, ZendOpenId, ZendRest, ZendService_AudioScrobbler, ZendService_Nirvanix, ZendService_SlideShare, ZendService_Technorati и ZendService_WindowsAzure до 2.0.2, ZendService_Amazon до 2.0.3 и ZendService_Api до 1.0.0, когда используется PHP-FPM, неправильно совместно использует настройку libxml_disable_entity_loader между потоками, что может позволить удаленным злоумышленникам проводить атаки XML External Entity (XXE) через объявление внешней XML-сущности в сочетании со ссылкой на сущность. ПРИМЕЧАНИЕ: эта проблема существует из-за неполного исправления для CVE-2012-5657.
CVE-2014-2684Класс GenericConsumer в компоненте Consumer в ZendOpenId до 2.0.2 и класс Zend_OpenId_Consumer в Zend Framework 1 до 1.12.4 не проверяют, что значение openid_op_endpoint идентифицирует того же поставщика удостоверений, что и поставщик, используемый в дескрипторе ассоциации, что позволяет удаленным злоумышленникам обходить аутентификацию и подделывать произвольные удостоверения OpenID, используя вредоносного поставщика OpenID, который генерирует токены OpenID с произвольными значениями identifier и claimed_id.
CVE-2014-2681Zend Framework 1 (ZF1) до 1.12.4, Zend Framework 2 до 2.1.6 и 2.2.x до 2.2.6, ZendOpenId, ZendRest, ZendService_AudioScrobbler, ZendService_Nirvanix, ZendService_SlideShare, ZendService_Technorati и ZendService_WindowsAzure до 2.0.2, ZendService_Amazon до 2.0.3 и ZendService_Api до 1.0.0 позволяют удаленным злоумышленникам читать произвольные файлы, отправлять HTTP-запросы на серверы интрасети и, возможно, вызывать отказ в обслуживании (потребление ЦП и памяти) через атаку XML External Entity (XXE). ПРИМЕЧАНИЕ: эта проблема существует из-за неполного исправления для CVE-2012-5657.
CVE-2012-6531(1) Zend_Dom, (2) Zend_Feed и (3) Zend_Soap в Zend Framework 1.x до версии 1.11.13 и 1.12.x до версии 1.12.0 неправильно обрабатывают классы SimpleXMLElement, что позволяет удаленным злоумышленникам читать произвольные файлы или создавать TCP-соединения через внешнюю ссылку на сущность в элементе DOCTYPE в XML-RPC запросе, также известную как атака с внедрением XML внешней сущности (XXE), уязвимость, отличная от CVE-2012-3363.
CVE-2015-3154Уязвимость CRLF-инъекции в Zend\Mail (Zend_Mail) в Zend Framework до версий 1.12.12, 2.x до версии 2.3.8 и 2.4.x до версии 2.4.1 позволяет удаленным злоумышленникам внедрять произвольные HTTP-заголовки и проводить атаки HTTP response splitting через CRLF-последовательности в заголовке электронного письма.
CVE-2014-4913ZF2014-03 имеет потенциальный вектор межсайтового скриптинга в нескольких вспомогательных элементах просмотра.
CVE-2012-4451Множественные уязвимости межсайтового скриптинга (XSS) в Zend Framework 2.0.x до 2.0.1 позволяют удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через неуказанный ввод в (1) Debug, (2) Feed\PubSubHubbub, (3) Log\Formatter\Xml, (4) Tag\Cloud\Decorator, (5) Uri, (6) View\Helper\HeadStyle, (7) View\Helper\Navigation\Sitemap или (8) View\Helper\Placeholder\Container\AbstractStandalone, связанные с Escaper.
CVE-2014-8088(1) Класс Zend_Ldap в Zend до 1.12.9 и (2) компонент Zend\Ldap в Zend 2.x до 2.2.8 и 2.3.x до 2.3.3 позволяют удаленным злоумышленникам обходить аутентификацию через пароль, начинающийся с нулевого байта, что вызывает неаутентифицированную привязку.
CVE-2014-2683Zend Framework 1 (ZF1) до 1.12.4, Zend Framework 2 до 2.1.6 и 2.2.x до 2.2.6, ZendOpenId, ZendRest, ZendService_AudioScrobbler, ZendService_Nirvanix, ZendService_SlideShare, ZendService_Technorati и ZendService_WindowsAzure до 2.0.2, ZendService_Amazon до 2.0.3 и ZendService_Api до 1.0.0 позволяют удаленным злоумышленникам вызывать отказ в обслуживании (потребление ЦП) через (1) рекурсивные или (2) циклические ссылки в определении XML-сущности в объявлении XML DOCTYPE, также известное как атака XML Entity Expansion (XEE). ПРИМЕЧАНИЕ: эта проблема существует из-за неполного исправления для CVE-2012-6532.