CVE-2026-24765 in phpunit
Riassunto
di VulDB • 14/06/2026
PHPUnit è un framework di testing per PHP. È stata scoperta una vulnerabilità nelle versioni precedenti a 12.5.8, 11.5.50, 10.5.62, 9.6.33 e 8.5.52 che riguarda la deserializzazione non sicura dei dati di copertura del codice durante l'esecuzione dei test PHPT. La vulnerabilità è presente nel metodo `cleanupForCoverage()`, il quale deserializza i file di copertura del codice senza effettuare alcuna validazione, potenzialmente consentendo l'esecuzione remota di codice (RCE) se sono presenti file `.coverage` malevoli prima dell'esecuzione del test PHPT. La vulnerabilità si verifica quando un file `.coverage`, che non dovrebbe esistere prima dell'esecuzione dei test, viene deserializzato senza la restrizione del parametro `allowed_classes`. Un attaccante con accesso in scrittura ai file locali può inserire nel filesystem un oggetto serializzato malevolo contenente il metodo `__wakeup()`, portando all'esecuzione di codice arbitrario durante l'esecuzione dei test con lo strumento di copertura del codice abilitato. Questa vulnerabilità richiede l'accesso in scrittura ai file a livello locale nella posizione in cui PHPUnit memorizza o si aspetta i file di copertura del codice per i test PHPT. Ciò può verificarsi attraverso attacchi alle pipeline CI/CD, nell'ambiente di sviluppo locale e/o tramite dipendenze compromesse. Invece di limitarsi a sanificare silenziosamente l'input impostando `['allowed_classes' => false]`, il manutentore ha scelto di rendere esplicito lo stato anomalo trattando i file `.coverage` preesistenti per i test PHPT come una condizione di errore. A partire dalle versioni 12.5.8, 11.5.50, 10.5.62 e 9.6.33, quando viene rilevato un file `.coverage` per un test PHPT prima dell'esecuzione, PHPUnit genererà un messaggio di errore chiaro che identifica lo stato anomalo. Le organizzazioni possono ridurre il rischio effettivo di questa vulnerabilità attraverso una corretta configurazione CI/CD, inclusi runner effimeri (ephemeral runners), applicazione della revisione del codice, protezione dei branch, isolamento degli artifact e controllo degli accessi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.