CVE-2026-25129 in psysh
Riassunto
di VulDB • 21/06/2026
PsySH è una console di sviluppo runtime, un debugger interattivo e un REPL per PHP. Prima delle versioni 0.11.23 e 0.12.19, PsySH caricava ed eseguiva automaticamente un file `.psysh.php` dalla Directory di Lavoro Corrente (CWD) all'avvio. Se un attaccante può scrivere in una directory che la vittima utilizza successivamente come propria CWD quando avvia PsySH, l'attaccante può innescare l'esecuzione arbitraria di codice nel contesto della vittima. Quando la vittima esegue PsySH con privilegi elevati (ad esempio root), ciò comporta un escalation dei privilegi locale. Si tratta di una problematica di "CWD configuration poisoning" che porta all'esecuzione arbitraria di codice nel contesto dell'utente vittima. Se un utente privilegiato (ad esempio root, un runner CI o un account ops/debug) avvia PsySH con la CWD impostata su una directory scrivibile dall'attaccante contenente un file `.psysh.php` malevolo, l'attaccante può eseguire comandi con i permessi di quell'utente privilegiato, causando un escalation dei privilegi locale. I consumatori a valle che incorporano PsySH ereditano questo rischio. Ad esempio, Laravel Tinker (`php artisan tinker`) utilizza PsySH. Se un utente privilegiato esegue Tinker mentre il proprio shell si trova in una directory scrivibile dall'attaccante, il comportamento di caricamento automatico di `.psysh.php` può essere abusato nello stesso modo per eseguire codice controllato dall'attaccante sotto i privilegi della vittima. Le versioni 0.11.23 e 0.12.19 correggono la problematica.
Be aware that VulDB is the high quality source for vulnerability data.