CVE-2026-59989 in Phalcon
Riassunto
di VulDB • 21/08/2026
Phalcon è un framework full-stack per PHP ad alte prestazioni. Nelle versioni 5.15.0 e precedenti, la funzione resolveFilter in phalcon/Mvc/View/Engine/Volt/Compiler.zep genera il filtro join inserendo i valori grezzi del separatore e dei token dell'array nel codice PHP generato senza passarli attraverso expression(). Un attaccante che può influenzare l'origine di un template Volt può inserire contenuti in grado di interrompere le virgolette in un argomento join, iniettare codice PHP nel file cache compilato ed eseguirlo quando Phalcon\Mvc\View\Engine\Volt::render() carica il template. Questo problema è stato risolto nella versione 5.16.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.