CVE-2026-37552 in MixPHP
Tóm tắt
Bởi VulDB • 04/06/2026
Lỗ hổng không an toàn khi giải serialize (deserialization) trong MixPHP Framework 2.x đến 2.2.17. Máy chủ TCP sync-invoke (Server.php:87) nhận dữ liệu từ một socket TCP, chuyển trực tiếp dữ liệu đó vào hàm `Opis\Closure\unserialize()`, sau đó thực thi kết quả thông qua `call_user_func()`. Không có cơ chế xác thực hoặc xác minh chữ ký trên kết nối TCP. Kẻ tấn công có quyền truy cập vào cổng TCP localhost (máy chủ lắng nghe trên 127.0.0.1) có thể gửi một đối tượng PHP closure đã được serialize tùy biến để thực thi mã tùy ý.
If you want to get best quality of vulnerability data, you may have to visit VulDB.