Обход strip_tags() функции в PHP

Дата публикации:
14.07.2004
Всего просмотров:
6040
Опасность:
Высокая
Наличие исправления:
Да
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
CVE-2004-0594
CVE-2004-0595
Вектор эксплуатации:
Удаленная
Воздействие:
Обход ограничений безопасности
Компрометация системы
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
PHP 4.2.x
PHP 4.3.x
PHP 4.1.x
PHP 4.0.x
Уязвимые версии: PHP 4.3.7 и более ранние версии. PHP 5.0.0RC3 и более ранние версии

Описание: Уязвимость обнаружена в PHP в функции strip_tags(). Удаленный пользователь может обойти фильтрацию функции и внедрить произвольные тэги в некоторые Web браузеры.

Если отключено 'magic_quotes_gpc' и функция strip_tags() используется для удаления HTML тэгов из данных, представленных пользователем, удаленный пользователь может представить специально обработанные тэги, которые не будут должным образом отфильтрованы функцией. Пример:

 <\0script>
<s\0cript>
Уязвимость может эксплуатироваться в браузерах Microsoft Internet Explorer и Apple's Safari, которые игнорируют строку '\0' и интерпретируют тэги, приведенные выше, как правильные тэги.

URL производителя: http://www.php.net

Решение:Установите обновленную версию программы (4.3.8 или 5.0): http://www.php.net/downloads.php

Ссылки: Advisory 12/2004: PHP strip_tags() bypass vulnerability

или введите имя

CAPTCHA