CVE-2026-48157

Slim, kullanıcıların basit web uygulamaları ve API'ler yazmasına olanak tanıyan bir PHP mikro çerçevesidir (micro framework). 4.4.0 ile 4.15 arasındaki sürümlerde, eğer bir uygulama hata başlığına veya açıklamasına güvenilmeyen/istek kaynaklı veriler eklemek için HttpException::setTitle() ve/veya setDescription() yöntemlerini kullanıyorsa (örneğin " '{$query}' ile eşleşen ürün bulunamadı."), bir saldırgan, kurban Slim tarafından oluşturulan bir HTML hata sayfasıyla karşılaştığında kurbanın tarayıcısında çalışan rastgele HTML/JavaScript enjekte edebilir. Kaçış karakterleri uygulanmamış (unescaped) başlık ve açıklama bu hata yolunda işlendiği için, zafiyet displayErrorDetails = false olsa dahi mevcuttur. Yerleşik istisnalar (HttpNotFoundException, HttpBadRequestException vb.) düz metin varsayılanlarla birlikte gelir, bu nedenle kullanıcı kodu içermeyen standart bir Slim uygulaması istismar edilemez. Yalnızca setTitle() ve/veya setDescription() yöntemlerine güvenilmeyen veri aktaran uygulamalar etkilenir. Sorun 4.15.2 sürümünde giderilmiştir. Geliştiricilerin uygulamalarını hemen güncelleyememeleri durumunda, HttpException::setTitle() ve setDescription() yöntemlerine güvenilmeyen/istek kaynaklı veri göndermekten kaçınıp bunun yerine statik, düz metin hata mesajları kullanarak bu sorunu aşabilirler. Ayrıca, HTML medya türü için özel bir hata oluşturucu (bir ErrorRendererInterface uygulaması veya başlık ve açıklamayı escape eden bir HtmlErrorRenderer alt sınıfı) kaydetmelidirler.