CVE-2026-59989 in Phalcon
Tóm tắt
Bởi VulDB • 22/08/2026
Phalcon là một framework PHP full-stack có hiệu suất cao. Trong các phiên bản từ 5.15.0 trở về trước, hàm resolveFilter trong phalcon/Mvc/View/Engine/Volt/Compiler.zep xây dựng bộ lọc join bằng cách chèn trực tiếp giá trị của dấu phân tách (separator) và token mảng vào mã PHP được sinh ra mà không thông qua expression(). Một kẻ tấn công có thể ảnh hưởng đến nguồn template Volt có thể đặt nội dung phá vỡ dấu ngoặc kép trong một đối số join, tiêm mã PHP vào tệp cache đã biên dịch, và thực thi nó khi Phalcon\Mvc\View\Engine\Volt::render() tải template. Vấn đề này được sửa chữa trong phiên bản 5.16.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.