CVE-2017-9841
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply updates per vendor instructions.
El archivo eval-stdin.php de PHPUnit permite que atacantes ejecuten código PHP arbitrario enviando solicitudes HTTP POST especialmente diseñadas. Esto es crítico porque otorga control total del servidor a cualquiera que pueda acceder al archivo expuesto.
Una vulnerabilidad de ejecución remota de código en PHPUnit versiones anteriores a 4.8.28 y 5.x anteriores a 5.6.3 existe en el script utilitario eval-stdin.php, que evalúa inseguramente código PHP desde datos POST. Un atacante no autenticado puede explotar esto si el directorio /vendor es accesible públicamente, logrando ejecución de código arbitrario en el servidor con los privilegios del proceso web.
El análisis completo de esta CVE está disponible en portugués →