p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

zendframework/zendframework1 1.12.17: bekannte Sicherheitslücken

Bekannte Sicherheitslücken für zendframework/zendframework1 1.12.17: 3. Vergleichen Sie die unten genannten Korrekturen mit Ihrer installierten Version.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 3

  1. GHSA-6fqw-j3vm-7f66

    Kritisch · CVSS 9.8Korrektur verfügbar

    Zendframework1 Potential SQL injection in ORDER and GROUP functions

    The implementation of ORDER BY and GROUP BY in Zend_Db_Select remained prone to SQL injection when a combination of SQL expressions and comments were used. This security patch provides a comprehensive solution that identifies and removes comments prior to checking validity of the statement to ensure no SQLi vectors occur. The implementation of ORDER BY and GROUP BY in Zend_Db_Select of ZF1 is vulnerable by the following SQL injection: ``` $db = Zend_Db::factory(/* options here */); $select = new Zend_Db_Select($db); $select->from('p'); $select->order("MD5(\"a(\");DELETE FROM p2; #)"); // same with group() ``` The above $select will render th

    zendframework/zendframework1PHP
    • Auf 1.12.20 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. GHSA-8xhv-gqm4-3w99

    Hoch · CVSS 7.5Korrektur verfügbar

    ZendFramework1 Potential Insufficient Entropy Vulnerability

    We discovered several methods used to generate random numbers in ZF1 that potentially used insufficient entropy. These random number generators are used in the following method calls: ``` Zend_Ldap_Attribute::createPassword Zend_Form_Element_Hash::_generateHash Zend_Gdata_HttpClient::filterHttpRequest Zend_Filter_Encrypt_Mcrypt::_srand Zend_OpenId::randomBytes ``` In each case, the methods were using rand() or mt_rand(), neither of which can generate cryptographically secure values. This could potentially lead to information disclosure should an attacker be able to brute force the random number generation. Moreover, we discovered a potential

    zendframework/zendframework1PHP
    • Auf 1.12.18 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →