CVE-2026-59989 in Phalcon
Zusammenfassung
von VulDB • 21.08.2026
Phalcon ist ein hochleistungsfähiges Full-Stack-PHP-Framework. In den Versionen 5.15.0 und früher erstellt resolveFilter in phalcon/Mvc/View/Engine/Volt/Compiler.zep den Join-Filter, indem die rohen Trennzeichen- und Array-Token-Werte direkt in das generierte PHP eingefügt werden, ohne sie durch expression() zu leiten. Ein Angreifer, der Einfluss auf die Volt-Vorlagenquelle nehmen kann, kann anführungszeichenbrechende Inhalte in ein Join-Argument einsetzen, PHP in die kompilierte Cache-Datei injizieren und diese ausführen lassen, wenn Phalcon\Mvc\View\Engine\Volt::render() die Vorlage lädt. Dieses Problem wurde in Version 5.16.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.