CVE-2026-82416
Açıklama
FrankenPHP, PHP için modern bir uygulama sunucusudur. 1.12.5 sürümünden önce, oturum eklentisi paylaşılan bir modül olarak yüklendiğinde ve derleme zamanında HAVE_PHP_SESSION üzerinden erişilemez olduğunda, FrankenPHP worker modu istekler arasında PHP oturum durumunu koruyabilmektedir. Bu yapılandırmada, frankenphp_reset_session_state() derleme dışı kalır, PS(id) bir istek sınırından sağ çıkabilir ve ardından gelen bir session_start(), halihazırda bir tanımlayıcı mevcut olduğu için yeni isteğin çerezini görmezden gelebilir. Eşzamanlı istekler altında, session_id() bu nedenle başka bir istemcinin tanımlayıcısını veya aynı worker iş parçacığındaki önceki bir istekten kalan bayat bir tanımlayıcıyı döndürebilir; bu da kullanıcılar arası oturum ifşasına, olası oturum çalmaya ve aralıklı oturum kapatma davranışına neden olur. Resmi statik ikililer ve Docker imajları dahil olmak üzere, oturum eklentisinin statik olarak bağlandığı sürümler etkilenmemektedir. Bu sorun 1.12.5 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/dunglas/frankenphp1.12.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/dunglas/frankenphpGo | v < 1.12.5 | 1.12.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.