CVE-2026-42552
Açıklama
Flight, PHP için genişletilebilir bir mikro çerçevedir. 3.18.1 sürümünden önce, varsayılan hata işleyici Engine::_error(), herhangi bir hata ayıklama denetimi olmaksızın tam istisna mesajını, istisna kodunu ve yığın izini (mutlak dosya sistemi yolları dahil) doğrudan HTTP 500 yanıtına yazar. Üretim ortamındaki dağıtımlar; dahili yolların, bir istisna mesajına eklenmiş her türlü gizli bilginin ve tüm modül yapısının sızmasına neden olarak saldırganlara diğer zafiyetleri (LFI, dizin gezintisi) zincirleme için temel imkanlar sağlar. Bu güvenlik açığı 3.18.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- flightphp/core3.18.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flightphp/corePackagist | v < 3.18.1 | 3.18.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.