CVE-2026-7259
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W PHP wersje 8.2.* przed 8.2.31, 8.3.* przed 8.3.31, 8.4.* przed 8.4.21 i 8.5.* przed 8.5.6 występuje niezgodność list kodowań w Oniguruma i mbfl, prowadząca do wyłuskania wskaźnika NULL i odmowy usługi. Podatność można wykorzystać, gdy dane wejściowe wpływają na kodowanie przekazane do mb_regex_encoding().
Ocena ryzyka
Atakujący może spowodować awarię aplikacji PHP (segfault), co prowadzi do przerwania działania usługi.
Rekomendacja
Zaktualizuj PHP do wersji 8.2.31, 8.3.31, 8.4.21 lub 8.5.6 w zależności od używanej gałęzi.
Oryginalny opis (angielski, źródło NVD)
In PHP versions 8.2.* before 8.2.31, 8.3.* before 8.3.31, 8.4.* before 8.4.21, and 8.5.* before 8.5.6, a mismatch between encoding lists in Oniguruma and mbfl leads to a NULL pointer dereference, resulting in a segmentation fault and denial of service. The vulnerability is exploitable when user-controlled input can influence the encoding passed to mb_regex_encoding().