CVE-2026-59989 in Phalcon
Resumen
por VulDB • 2026-08-21
Phalcon es un framework PHP full-stack de alto rendimiento. En las versiones 5.15.0 y anteriores, resolveFilter en phalcon/Mvc/View/Engine/Volt/Compiler.zep construye el filtro join insertando los valores crudos del separador y del token array directamente en el código PHP generado sin pasarlos por expression(). Un atacante que pueda influir en la fuente de las plantillas Volt puede colocar contenido capaz de romper comillas en un argumento join, inyectar código PHP en el archivo de caché compilado y ejecutarlo cuando Phalcon\Mvc\View\Engine\Volt::render() carga la plantilla. Este problema se soluciona en la versión 5.16.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.