CVE-2026-54736
Açıklama
Phalcon yüksek performanslı, full-stack bir PHP framework'üdür. 5.14.1 sürümünden önce, Phalcon\Encryption\Crypt::decrypt, saldırgan tarafından sağlanan HMAC etiketini yeni hesaplanmış olan HMAC ile PHP/Zephir kimlik karşılaştırması kullanarak kıyaslar; bu işlem, ilk farklı baytta erken dönüş yapan bayt bazlı bir karşılaştırmaya indirgenir. Bu gözlemlenebilir zamanlama farkı, bir saldırganın geçerli bir etiketi bayt bayt geri kazanmasına ve bunu seçilen bir IV ve şifreli metne ekleyerek decrypt() fonksiyonunun kurcalanmış şifreli içeriği orijinal olarak kabul etmesini sağlamasına olanak tanıyabilir. Bu sorun 5.14.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- phalcon/cphalcon5.14.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| phalcon/cphalconPackagist | v < 5.14.1 | 5.14.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.