Zaloguj się
Deutsch English Español Polski
Średnia

ZendFramework potential Cross-site Scripting vectors due to inconsistent encodings

  • Ujawniono: 07.06.2024
  • Aktualizacja: 11.10.2026 10:22

A number of classes, primarily within the Zend_Form, Zend_Filter, Zend_Form, Zend_Log and Zend_View components, contained character encoding inconsistencies whereby calls to the htmlspecialchars() and htmlentities() functions used undefined or hard coded charset parameters. In many of these cases developers were unable to set a character encoding of their choice. These inconsistencies could, in specific circumstances, allow certain multibyte representations of special HTML characters pass through unescaped leaving applications potentially vulnerable to cross-site scripting (XSS) exploits. Such exploits would only be possible if a developer used a non-typical character encoding (such as UTF-7), allowed users to define the character encoding, or served HTML documents without a valid character set defined.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer zendframework/zendframework1 >= 1.9.0, < 1.9.7 1.9.7

Odnośniki

Ocena CVSS 6.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE)
CWE-79
Platforma
Composer
Paczka
zendframework/zendframework1
Ujawniono
07.06.2024
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-hg35-vqp3-fv39 - CC BY 4.0

Historia podatności: zendframework/zendframework1

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (34) w archiwum
Wszystkich wpisów
34
Pierwsza → ostatnia
05.2022 06.2024
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 8
  • Wysoka 9
  • Średnia 17

Ujawnienia w latach

Istotność:
  1. Zendframework1 Potential SQL injection in ORDER and GROUP functions
    Krytyczna · 9.8 ghsa-6fqw-j3vm-7f66 < 1.12.20 1.12.20
  2. Zendframework Potential Information Disclosure and Insufficient Entropy vulnerability
    Wysoka · 7.5 ghsa-848f-mph5-9pm9 >= 1.12.0, < 1.12.17 1.12.17
  3. ZendFramework1 Potential Insufficient Entropy Vulnerability
    Wysoka · 7.5 ghsa-8xhv-gqm4-3w99 >= 1.12.0, < 1.12.18 1.12.18
  4. Zendframework1 potential SQL injection vector using null byte for PDO (MsSql, SQLite)
    Krytyczna · 9.8 ghsa-v42g-7q2x-cw32 >= 1.12.0, < 1.12.16 1.12.16
  5. ZendFramework1 Potential SQL injection in the ORDER implementation of Zend_Db_Select
    Krytyczna · 9.8 ghsa-2x36-qhx3-7m5f >= 1.12.0, < 1.12.7 1.12.7
  6. Zendframework potential security issue in login mechanism
    Wysoka · 7.5 ghsa-9v78-h226-2rmq >= 1.12.0, < 1.12.4 1.12.4
  7. Zendframework Local file disclosure via XXE injection in Zend_XmlRpc
    Wysoka · 8.6 ghsa-229x-22xc-2f2w >= 1.0.0, < 1.11.13 1.11.13
  8. Zendframework Denial of Service vector via XEE injection
    Wysoka · 7.5 ghsa-2jx7-xg83-j2m7 >= 1.0.0, < 1.11.13 1.11.13
  9. ZendFramework potential XML eXternal Entity injection vectors
    Krytyczna · 9.8 ghsa-mhpx-3rv8-wrjm >= 1.12.0, < 1.12.4 1.12.4
  10. ZendFramework potential XML eXternal Entity injection vectors
    Wysoka · 7.5 ghsa-4j9x-g4x8-vcmf >= 1.11.0, < 1.11.15, >= 1.12.0, < 1.12.1 1.11.15, 1.12.1
  11. ZendFramework potential Cross-site Scripting vectors due to inconsistent encodings ten wpis
    Średnia · 6.1 ghsa-hg35-vqp3-fv39 >= 1.9.0, < 1.9.7 1.9.7
  12. ZendFramework potential SQL Injection Vector When Using PDO_MySql
    Krytyczna · 9.8 ghsa-qf36-fx9f-232x >= 1.10.0, < 1.10.9, >= 1.11.0, < 1.11.6 1.10.9, 1.11.6
  13. ZendFramework local file inclusion vector in `Zend_View::setScriptPath()` and `render()`
    Wysoka · 7.5 ghsa-hx3m-959f-v849 >= 1.7.0, < 1.7.5 1.7.5
  14. Zend Framework SQL injection vulnerability
    Krytyczna · 9.8 CVE-2014-8089 >= 1.12.0, < 1.12.9 1.12.9
  15. Zend Framework XXE Vulnerability
    Wysoka · 7.3 CVE-2012-3363 >= 1.0.0, < 1.11.12, >= 1.12.0-rc1, < 1.12.0 1.11.12, 1.12.0
  16. Doctrine Security Misconfiguration Vulnerability
    Wysoka · 7.8 CVE-2015-5723 >= 1.12.0, < 1.12.16 1.12.16
  17. Zend Framework SQL injection vector using null byte for PDO
    Krytyczna · 9.8 CVE-2015-7695 < 1.12.16 1.12.16
  18. Zend Framework Allows SQL Injection
    Krytyczna · 9.8 CVE-2016-6233 < 1.12.19 1.12.19

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.