CVE-2026-59989 in Phalcon
요약
\~에 의해 VulDB • 2026. 08. 21.
Phalcon은 고성능의 풀스택 PHP 프레임워크입니다. 버전 5.15.0 및 그 이전 버전에서 `phalcon/Mvc/View/Engine/Volt/Compiler.zep`의 `resolveFilter` 함수는 생성된 PHP에 raw separator와 array token 값을 그대로 삽입하여 join 필터를 구성하며, 이를 expression()을 통해 처리하지 않습니다. Volt 템플릿 소스에 영향을 줄 수 있는 공격자는 join 인자에 따옴표를 깨는 내용을 배치하고 컴파일된 캐시 파일에 PHP 코드를 주입한 후, `Phalcon\Mvc\View\Engine\Volt::render()`가 템플릿을 로드할 때 이를 실행할 수 있습니다. 이 문제는 버전 5.16.0에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.