p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Schwachstellen im Stack PHP · Seite 115

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für PHP: 222. Davon im KEV-Katalog: 2.

RSS ↗ JSON ↗
Sicherheitslücken filtern
PHP

Frühwarnungen

Neue Schwachstellenmeldungen aus Herstellerankündigungen und Sicherheitsnachrichten. Diese Warnungen ändern die Sicherheitsbewertung nicht.

  1. php

    Keine Korrektur veröffentlicht

    PHP: Remote-Codeausführung

    Laut OpenNet wurde in PHP eine Sicherheitslücke gefunden: Remote-Codeausführung (CVE-2026-115560). Die betroffenen Versionen sind nicht genau angegeben. Im Bericht wird keine Version mit Fehlerbehebung genannt.

    Was jetzt zu tun ist: Prüfen Sie, ob ein Update für PHP mit der Fehlerbehebung verfügbar ist, und installieren Sie es.

    CVE-2026-115560

    opennet ↗the-hacker-news ↗

Sicherheitslücken: 7239

  1. CVE-2025-31688

    Mittel · CVSS 6.8EPSS 0,19%Korrektur verfügbar

    Configuration Split - Moderately critical - Cross Site Request Forgery - SA-CONTRIB-2025-017

    Cross-Site Request Forgery (CSRF) vulnerability in Drupal Configuration Split allows Cross Site Request Forgery.This issue affects Configuration Split: from 0.0.0 before 1.10.0, from 2.0.0 before 2.0.2.

    configuration split drupal/config_split drupal/config_split drupal/config_splitPHP
    • Auf 1.10.0 aktualisieren
    • Auf 2.0.2 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  2. CVE-2025-31687

    Mittel · CVSS 6.1EPSS 0,26%Korrektur verfügbar

    SpamSpan filter - Moderately critical - Cross Site Scripting - SA-CONTRIB-2025-016

    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Drupal SpamSpan filter allows Cross-Site Scripting (XSS).This issue affects SpamSpan filter: from 0.0.0 before 3.2.1.

    spamspan filter drupal/spamspan drupal/spamspanPHP
    • Auf 3.2.1 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  3. CVE-2025-31686

    Hoch · CVSS 8.1EPSS 0,41%Korrektur verfügbar

    Open Social - Less critical - Access bypass, Information Disclosure - SA-CONTRIB-2025-015

    Missing Authorization vulnerability in Drupal Open Social allows Forceful Browsing.This issue affects Open Social: from 0.0.0 before 12.3.11, from 12.4.0 before 12.4.10.

    open social goalgorilla/open_social goalgorilla/open_socialPHP
    • Auf 12.3.11 aktualisieren
    • Auf 12.4.10 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  4. CVE-2025-31685

    Kritisch · CVSS 9.1EPSS 0,39%Korrektur verfügbar

    Open Social - Moderately critical - Access bypass - SA-CONTRIB-2025-014

    Missing Authorization vulnerability in Drupal Open Social allows Forceful Browsing.This issue affects Open Social: from 0.0.0 before 12.3.11, from 12.4.0 before 12.4.10.

    open social goalgorilla/open_social goalgorilla/open_socialPHP
    • Auf 12.3.11 aktualisieren
    • Auf 12.4.10 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  6. CVE-2025-31683

    Mittel · CVSS 6.8EPSS 0,18%Korrektur verfügbar

    Google Tag - Moderately critical - Cross Site Request Forgery - SA-CONTRIB-2025-012

    Cross-Site Request Forgery (CSRF) vulnerability in Drupal Google Tag allows Cross Site Request Forgery.This issue affects Google Tag: from 0.0.0 before 1.8.0, from 2.0.0 before 2.0.8.

    google tag drupal/google_tag drupal/google_tag drupal/google_tagPHP
    • Auf 1.8.0 aktualisieren
    • Auf 2.0.8 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  7. CVE-2025-31682

    Mittel · CVSS 4.8EPSS 0,24%Korrektur verfügbar

    Google Tag - Moderately critical - Cross Site Scripting - SA-CONTRIB-2025-011

    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Drupal Google Tag allows Cross-Site Scripting (XSS).This issue affects Google Tag: from 0.0.0 before 1.8.0, from 2.0.0 before 2.0.8.

    google tag drupal/google_tag drupal/google_tag drupal/google_tagPHP
    • Auf 1.8.0 aktualisieren
    • Auf 2.0.8 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  10. CVE-2025-31679

    Mittel · CVSS 6.1EPSS 0,26%Korrektur verfügbar

    Ignition Error Pages - Critical - Cross Site Scripting - SA-CONTRIB-2025-007

    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Drupal Ignition Error Pages allows Cross-Site Scripting (XSS).This issue affects Ignition Error Pages: from 0.0.0 before 1.0.4.

    ignition error pages drupal/ignition drupal/ignitionPHP
    • Auf 1.0.4 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  11. CVE-2025-31678

    Hoch · CVSS 8.2EPSS 0,38%Korrektur verfügbar

    AI (Artificial Intelligence) - Moderately critical - Access bypass, Information Disclosure - SA-CONTRIB-2025-004

    Missing Authorization vulnerability in Drupal AI (Artificial Intelligence) allows Forceful Browsing.This issue affects AI (Artificial Intelligence): from 0.0.0 before 1.0.3.

    ai (artificial intelligence) drupal/ai drupal/aiPHP
    • Auf 1.0.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  12. CVE-2025-31677

    Hoch · CVSS 8.8EPSS 0,23%Korrektur verfügbar

    AI (Artificial Intelligence) - Critical - Cross Site Request Forgery - SA-CONTRIB-2025-003

    Cross-Site Request Forgery (CSRF) vulnerability in Drupal AI (Artificial Intelligence) allows Cross Site Request Forgery.This issue affects AI (Artificial Intelligence): from 1.0.0 before 1.0.2.

    ai (artificial intelligence) drupal/ai drupal/aiPHP
    • Auf 1.0.2 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  14. CVE-2025-31675

    Mittel · CVSS 5.4EPSS 0,5%Korrektur verfügbar

    Drupal core - Moderately critical - Cross Site Scripting - SA-CORE-2025-004

    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Drupal Drupal core allows Cross-Site Scripting (XSS).This issue affects Drupal core: from 8.0.0 before 10.3.14, from 10.4.0 before 10.4.5, from 11.0.0 before 11.0.13, from 11.1.0 before 11.1.5. It also affects the Drupal 7 module from versions 7.x-1.0 through 7.x-1.12.

    drupal core link drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.3.14 aktualisieren
    • Auf 10.4.5 aktualisieren
    • Auf 11.0.13 aktualisieren
    • Auf 11.1.5 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  15. CVE-2025-31674

    Hoch · CVSS 7.5EPSS 0,6%Korrektur verfügbar

    Drupal core - Moderately critical - Gadget Chain - SA-CORE-2025-003

    Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in Drupal Drupal core allows Object Injection.This issue affects Drupal core: from 8.0.0 before 10.3.13, from 10.4.0 before 10.4.3, from 11.0.0 before 11.0.12, from 11.1.0 before 11.1.3.

    drupal core drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.3.13 aktualisieren
    • Auf 10.4.3 aktualisieren
    • Auf 11.0.12 aktualisieren
    • Auf 11.1.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  16. CVE-2025-31673

    Mittel · CVSS 4.6EPSS 0,32%Korrektur verfügbar

    Drupal core - Moderately critical - Access bypass - SA-CORE-2025-002

    Incorrect Authorization vulnerability in Drupal Drupal core allows Forceful Browsing.This issue affects Drupal core: from 8.0.0 before 10.3.13, from 10.4.0 before 10.4.3, from 11.0.0 before 11.0.12, from 11.1.0 before 11.1.3.

    drupal core drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.3.13 aktualisieren
    • Auf 10.4.3 aktualisieren
    • Auf 11.0.12 aktualisieren
    • Auf 11.1.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  17. CVE-2025-3057

    Mittel · CVSS 6.1EPSS 0,31%Korrektur verfügbar

    Drupal core - Critical - Cross site scripting - SA-CORE-2025-001

    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Drupal Drupal core allows Cross-Site Scripting (XSS).This issue affects Drupal core: from 8.0.0 before 10.3.13, from 10.4.0 before 10.4.3, from 11.0.0 before 11.0.12, from 11.1.0 before 11.1.3.

    drupal core drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Auf 10.3.13 aktualisieren
    • Auf 10.4.3 aktualisieren
    • Auf 11.0.12 aktualisieren
    • Auf 11.1.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  19. CVE-2025-2967

    Mittel · CVSS 5.1Keine Korrektur veröffentlicht

    ConcreteCMS Cross-Site Scripting (XSS) via HTML Block Text Field

    A vulnerability was found in ConcreteCMS up to 9.3.9. It has been classified as problematic. This affects the function Save of the component HTML Block Handler. The manipulation of the argument content leads to HTML injection. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

    concrete5/concrete5PHP
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  20. CVE-2025-1861

    Mittel · CVSS 6.3EPSS 0,86%Korrektur verfügbar

    Stream HTTP wrapper truncates redirect location to 1024 bytes

    In PHP from 8.1.* before 8.1.32, from 8.2.* before 8.2.28, from 8.3.* before 8.3.19, from 8.4.* before 8.4.5, when parsing HTTP redirect in the response to an HTTP request, there is currently limit on the location value size caused by limited size of the location buffer to 1024. However as per RFC9110, the limit is recommended to be 8000. This may lead to incorrect URL truncation and redirecting to a wrong location.

    php php8.2 php8.4 php8.4 php5 php7.0 php7.2 php7.4 php8.1 php8.3Betriebssysteme PHP
    • Auf 7.0.33-0ubuntu0.16.04.16+esm15 aktualisieren
    • Auf 7.2.24-0ubuntu0.18.04.17+esm8 aktualisieren
    • Auf 7.4.3-4ubuntu2.29 aktualisieren
    • Auf 8.1.2-1ubuntu2.21 aktualisieren
    • Auf 8.1.32 aktualisieren
    • Auf 8.2.28 aktualisieren
    • Auf 8.2.28-1~deb12u1 aktualisieren
    • Auf 8.3.19 aktualisieren
    • Auf 8.3.6-0ubuntu0.24.04.4 aktualisieren
    • Auf 8.4.5 aktualisieren
    • Auf 8.4.5-1 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →