CVE-2021-3007
Açıklama
Laminas Project laminas-http 2.14.2 öncesi sürümleri ve Zend Framework 3.0.0 sürümü, Stream.php dosyasındaki Zend\Http\Response\Stream sınıfının __destruct metoduyla ilgili olarak, içeriğin kontrol edilebildiği durumlarda uzaktan kod çalıştırmaya yol açabilecek bir deserialization zafiyetine sahiptir. NOT: Zend Framework artık sürdürücü tarafından desteklenmemektedir. NOT: laminas-http sağlayıcısı bunu "PHP dilinin kendisindeki bir zafiyet" olarak değerlendirmektedir ancak saldırgan tarafından sağlanan verilerin deserialize edilebildiği (önerilmeyen) kullanım durumlarında istismarı önlemek amacıyla belirli tip kontrolleri eklemiştir.
Nasıl düzeltilir
- getlaminas laminas-http2.14.2 ya da sonraki bir sürüm
- laminas/laminas-http2.14.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getlaminas laminas-http | v < 2.14.2 | 2.14.2 |
| zend zend_framework | 3.0.0 | — |
| zendframework/zendframeworkPackagist | v ≤ 3.0.0 | — |
| laminas/laminas-httpPackagist | v < 2.14.2 | 2.14.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.