CVE-2026-42551

Flight, PHP için genişletilebilir bir mikro çerçevedir. 3.18.1 sürümünden önce Request::getMethod(), herhangi bir seçime veya izin verilen hedef yöntemlerin beyaz listesine bakmaksızın, tüm HTTP fiillerinde (GET gibi güvenli fiiller dahil) X-HTTP-Method-Override başlığını ve $_REQUEST['_method'] parametresini koşulsuz olarak kabul etmektedir. Bir GET isteği sessizce DELETE veya PUT isteğine dönüşebilir; bu durum yıkıcı uç noktalara karşı CSRF yükseltilmesine, güvenli olmayan fiillere göre kısıtlanmış ara katman yazılımlarının (middleware) atlatılmasına ve CDN ile kaynak sunucu arasında önbellek zehirlemesine olanak tanır. Bu güvenlik açığı 3.18.1 sürümünde giderilmiştir.