CVE-2026-37552
Açıklama
MixPHP Framework 2.x ile 2.2.17 sürümleri arasında güvenli olmayan deserialization zafiyeti bulunmaktadır. sync-invoke TCP sunucusu (Server.php:87), bir TCP soketinden veri alır, bu veriyi doğrudan Opis\Closure\unserialize() fonksiyonuna aktarır ve ardından sonucu call_user_func() aracılığıyla yürütür. TCP bağlantısı üzerinde herhangi bir kimlik doğrulama veya imza doğrulaması bulunmamaktadır. Localhost TCP portuna erişimi olan bir saldırgan (sunucu 127.0.0.1 adresine bağlanır), rastgele kod çalıştırmak için özel olarak hazırlanmış serileştirilmiş bir PHP closure gönderebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openmix mix_php | 2.0.1 ≤ v ≤ 2.2.17 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.