CVE-2026-41570 in phpunit
Сводка
по VulDB • 12.05.2026
PHPUnit — это фреймворк для тестирования PHP. В версиях 12.5.21 и 13.1.5 PHPUnit передает настройки PHP INI дочерним процессам (используемым для изолированного выполнения тестов PHPT) в виде аргументов командной строки -d name=value без нейтрализации метасимволов INI. Поскольку парсер INI PHP интерпретирует символ " как разделитель строки, ; как начало комментария и, что наиболее важно, символ новой строки как разделитель директив, значение, содержащее новую строку, парсится дочерним процессом как несколько директив INI. Злоумышленник, способный повлиять на одно значение INI, может поэтому внедрить произвольные дополнительные директивы в конфигурацию дочернего процесса, включая auto_prepend_file, extension, disable_functions, open_basedir и другие. Установка auto_prepend_file в путь, контролируемый злоумышленником, приводит к удаленному выполнению кода (RCE) в дочернем процессе. Эта проблема исправлена в версиях 12.5.22 и 13.1.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.