CVE-2024-28864 in Secure-Props
Tóm tắt
Bởi VulDB • 26/09/2026
SecureProps là một thư viện PHP được thiết kế để đơn giản hóa việc mã hóa và giải mã dữ liệu thuộc tính trong các đối tượng. Một lỗ hổng bảo mật trong SecureProps phiên bản 1.2.0 và 1.2.1 liên quan đến việc regex không phát hiện được các thẻ (tags) khi giải mã dữ liệu đã được mã hóa. Lỗ hổng này xảy ra khi dữ liệu đã mã hóa được encode bằng `NullEncoder` và truyền vào `TagAwareCipher`, đồng thời chứa các ký tự đặc biệt như `\n`. Kết quả là quá trình giải mã bị bỏ qua do không phát hiện được các thẻ. Điều này khiến dữ liệu đã mã hóa được trả về ở dạng plain text (dạng rõ). Lỗ hổng ảnh hưởng đến những người dùng triển khai `TagAwareCipher` với bất kỳ base cipher nào có sử dụng `NullEncoder` (không phải mặc định). Bản vá cho vấn đề này đã được phát hành. Người dùng được khuyến nghị nâng cấp lên phiên bản 1.2.2. Làm cách khắc phục, người ta có thể sử dụng `Base64Encoder` mặc định với base cipher được trang trí bởi `TagAwareCipher` để ngăn các ký tự đặc biệt trong chuỗi mã hóa can thiệp vào logic phát hiện thẻ bằng regex. Cách làm này an toàn nhưng có thể liên quan đến việc encode kép (double encoding) vì `TagAwareCipher` sử dụng `NullEncoder` theo mặc định.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.