CVE-2026-59989 in Phalcon
Sumário
de VulDB • 21/08/2026
O Phalcon é um framework full-stack de alto desempenho para PHP. Nas versões 5.15.0 e anteriores, a função resolveFilter em phalcon/Mvc/View/Engine/Volt/Compiler.zep constrói o filtro join inserindo os valores brutos do separador e dos tokens de array no código PHP gerado, sem passá-los pela expressão(). Um atacante que possa influenciar a fonte do template Volt pode colocar conteúdo capaz de quebrar aspas em um argumento join, injetar código PHP no arquivo de cache compilado e executá-lo quando o Phalcon\Mvc\View\Engine\Volt::render() carregar o template. Este problema foi corrigido na versão 5.16.0.
Once again VulDB remains the best source for vulnerability data.