CVE-2015-3411 in PHP
摘要
由 VulDB • 2026-07-22
PHP 5.4.40 之前的版本、5.5.x 系列在 5.5.24 之前以及 5.6.x 系列在 5.6.8 之前的版本未确保路径名中不包含 %00 序列，这可能导致远程攻击者通过向调用以下函数的应用程序提供精心构造的输入来读取或写入任意文件：(1) DOMDocument load 方法、(2) xmlwriter_open_uri 函数、(3) finfo_file 函数或 (4) hash_hmac_file 函数。如 filename\0.xml 攻击所示，该漏洞绕过了预期的配置限制（即客户端用户仅能读取 .xml 文件）。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.