p PatchFirst

PatchFirst · Свежие уязвимости

PHP: уязвимости стека · Страница 115

За последние 30 дней в PHP опубликовано уязвимостей: 222; в каталоге KEV: 2.

RSS ↗ JSON ↗
Фильтры уязвимостей
PHP

Ранние предупреждения

Свежие сообщения об уязвимостях из анонсов разработчиков и новостей безопасности. Предупреждения не меняют рейтинг защищённости.

  1. php

    Исправление не опубликовано

    PHP: удалённое выполнение кода

    По данным OpenNet, в PHP найдена уязвимость — удалённое выполнение кода (CVE-2026-115560). Точные затронутые версии не указаны. Версия с исправлением в сообщении не указана.

    Что сделать сейчас: Проверьте, вышло ли обновление PHP с исправлением, и установите его.

    CVE-2026-115560

    opennet ↗the-hacker-news ↗

Уязвимостей: 7239

  1. CVE-2025-31688

    Средний · CVSS 6.8EPSS 0,19%Есть исправление

    Configuration Split - Moderately critical - Cross Site Request Forgery - SA-CONTRIB-2025-017

    Cross-Site Request Forgery (CSRF) vulnerability in Drupal Configuration Split allows Cross Site Request Forgery.This issue affects Configuration Split: from 0.0.0 before 1.10.0, from 2.0.0 before 2.0.2.

    configuration split drupal/config_split drupal/config_split drupal/config_splitPHP
    • Обновитесь до 1.10.0
    • Обновитесь до 2.0.2
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  2. CVE-2025-31687

    Средний · CVSS 6.1EPSS 0,26%Есть исправление

    SpamSpan filter - Moderately critical - Cross Site Scripting - SA-CONTRIB-2025-016

    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Drupal SpamSpan filter allows Cross-Site Scripting (XSS).This issue affects SpamSpan filter: from 0.0.0 before 3.2.1.

    spamspan filter drupal/spamspan drupal/spamspanPHP
    • Обновитесь до 3.2.1
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  3. CVE-2025-31686

    Высокий · CVSS 8.1EPSS 0,41%Есть исправление

    Open Social - Less critical - Access bypass, Information Disclosure - SA-CONTRIB-2025-015

    Missing Authorization vulnerability in Drupal Open Social allows Forceful Browsing.This issue affects Open Social: from 0.0.0 before 12.3.11, from 12.4.0 before 12.4.10.

    open social goalgorilla/open_social goalgorilla/open_socialPHP
    • Обновитесь до 12.3.11
    • Обновитесь до 12.4.10
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  4. CVE-2025-31685

    Критический · CVSS 9.1EPSS 0,39%Есть исправление

    Open Social - Moderately critical - Access bypass - SA-CONTRIB-2025-014

    Missing Authorization vulnerability in Drupal Open Social allows Forceful Browsing.This issue affects Open Social: from 0.0.0 before 12.3.11, from 12.4.0 before 12.4.10.

    open social goalgorilla/open_social goalgorilla/open_socialPHP
    • Обновитесь до 12.3.11
    • Обновитесь до 12.4.10
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  5. CVE-2025-31684

    Средний · CVSS 6.8EPSS 0,18%Есть исправление

    OAuth2 Client - Moderately critical - Cross Site Request Forgery - SA-CONTRIB-2025-013

    Cross-Site Request Forgery (CSRF) vulnerability in Drupal OAuth2 Client allows Cross Site Request Forgery.This issue affects OAuth2 Client: from 0.0.0 before 4.1.3.

    oauth2 client drupal/oauth2_client drupal/oauth2_clientPHP
    • Обновитесь до 4.1.3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  6. CVE-2025-31683

    Средний · CVSS 6.8EPSS 0,18%Есть исправление

    Google Tag - Moderately critical - Cross Site Request Forgery - SA-CONTRIB-2025-012

    Cross-Site Request Forgery (CSRF) vulnerability in Drupal Google Tag allows Cross Site Request Forgery.This issue affects Google Tag: from 0.0.0 before 1.8.0, from 2.0.0 before 2.0.8.

    google tag drupal/google_tag drupal/google_tag drupal/google_tagPHP
    • Обновитесь до 1.8.0
    • Обновитесь до 2.0.8
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  7. CVE-2025-31682

    Средний · CVSS 4.8EPSS 0,24%Есть исправление

    Google Tag - Moderately critical - Cross Site Scripting - SA-CONTRIB-2025-011

    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Drupal Google Tag allows Cross-Site Scripting (XSS).This issue affects Google Tag: from 0.0.0 before 1.8.0, from 2.0.0 before 2.0.8.

    google tag drupal/google_tag drupal/google_tag drupal/google_tagPHP
    • Обновитесь до 1.8.0
    • Обновитесь до 2.0.8
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  8. CVE-2025-31681

    Критический · CVSS 9.8EPSS 0,43%Есть исправление

    Authenticator Login - Critical - Access bypass - SA-CONTRIB-2025-009

    Missing Authorization vulnerability in Drupal Authenticator Login allows Forceful Browsing.This issue affects Authenticator Login: from 0.0.0 before 2.0.6.

    authenticator login drupal/alogin drupal/aloginPHP
    • Обновитесь до 2.0.6
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  9. CVE-2025-31680

    Средний · CVSS 6.8EPSS 0,18%Есть исправление

    Matomo Analytics - Moderately critical - Cross site request forgery - SA-CONTRIB-2025-008

    Cross-Site Request Forgery (CSRF) vulnerability in Drupal Matomo Analytics allows Cross Site Request Forgery.This issue affects Matomo Analytics: from 0.0.0 before 1.24.0.

    matomo analytics drupal/matomo drupal/matomoPHP
    • Обновитесь до 1.24.0
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  10. CVE-2025-31679

    Средний · CVSS 6.1EPSS 0,26%Есть исправление

    Ignition Error Pages - Critical - Cross Site Scripting - SA-CONTRIB-2025-007

    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Drupal Ignition Error Pages allows Cross-Site Scripting (XSS).This issue affects Ignition Error Pages: from 0.0.0 before 1.0.4.

    ignition error pages drupal/ignition drupal/ignitionPHP
    • Обновитесь до 1.0.4
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  11. CVE-2025-31678

    Высокий · CVSS 8.2EPSS 0,38%Есть исправление

    AI (Artificial Intelligence) - Moderately critical - Access bypass, Information Disclosure - SA-CONTRIB-2025-004

    Missing Authorization vulnerability in Drupal AI (Artificial Intelligence) allows Forceful Browsing.This issue affects AI (Artificial Intelligence): from 0.0.0 before 1.0.3.

    ai (artificial intelligence) drupal/ai drupal/aiPHP
    • Обновитесь до 1.0.3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  12. CVE-2025-31677

    Высокий · CVSS 8.8EPSS 0,23%Есть исправление

    AI (Artificial Intelligence) - Critical - Cross Site Request Forgery - SA-CONTRIB-2025-003

    Cross-Site Request Forgery (CSRF) vulnerability in Drupal AI (Artificial Intelligence) allows Cross Site Request Forgery.This issue affects AI (Artificial Intelligence): from 1.0.0 before 1.0.2.

    ai (artificial intelligence) drupal/ai drupal/aiPHP
    • Обновитесь до 1.0.2
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  14. CVE-2025-31675

    Средний · CVSS 5.4EPSS 0,5%Есть исправление

    Drupal core - Moderately critical - Cross Site Scripting - SA-CORE-2025-004

    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Drupal Drupal core allows Cross-Site Scripting (XSS).This issue affects Drupal core: from 8.0.0 before 10.3.14, from 10.4.0 before 10.4.5, from 11.0.0 before 11.0.13, from 11.1.0 before 11.1.5. It also affects the Drupal 7 module from versions 7.x-1.0 through 7.x-1.12.

    drupal core link drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Обновитесь до 10.3.14
    • Обновитесь до 10.4.5
    • Обновитесь до 11.0.13
    • Обновитесь до 11.1.5
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  15. CVE-2025-31674

    Высокий · CVSS 7.5EPSS 0,6%Есть исправление

    Drupal core - Moderately critical - Gadget Chain - SA-CORE-2025-003

    Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in Drupal Drupal core allows Object Injection.This issue affects Drupal core: from 8.0.0 before 10.3.13, from 10.4.0 before 10.4.3, from 11.0.0 before 11.0.12, from 11.1.0 before 11.1.3.

    drupal core drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Обновитесь до 10.3.13
    • Обновитесь до 10.4.3
    • Обновитесь до 11.0.12
    • Обновитесь до 11.1.3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  16. CVE-2025-31673

    Средний · CVSS 4.6EPSS 0,32%Есть исправление

    Drupal core - Moderately critical - Access bypass - SA-CORE-2025-002

    Incorrect Authorization vulnerability in Drupal Drupal core allows Forceful Browsing.This issue affects Drupal core: from 8.0.0 before 10.3.13, from 10.4.0 before 10.4.3, from 11.0.0 before 11.0.12, from 11.1.0 before 11.1.3.

    drupal core drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Обновитесь до 10.3.13
    • Обновитесь до 10.4.3
    • Обновитесь до 11.0.12
    • Обновитесь до 11.1.3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  17. CVE-2025-3057

    Средний · CVSS 6.1EPSS 0,31%Есть исправление

    Drupal core - Critical - Cross site scripting - SA-CORE-2025-001

    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Drupal Drupal core allows Cross-Site Scripting (XSS).This issue affects Drupal core: from 8.0.0 before 10.3.13, from 10.4.0 before 10.4.3, from 11.0.0 before 11.0.12, from 11.1.0 before 11.1.3.

    drupal core drupal/core drupal/core drupal/core drupal/core drupal/corePHP
    • Обновитесь до 10.3.13
    • Обновитесь до 10.4.3
    • Обновитесь до 11.0.12
    • Обновитесь до 11.1.3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

  18. CVE-2025-31128

    Средний · CVSS 6.9EPSS 0,49%Есть исправление

    gifplayer XSS vulnerability

    gifplayer is a customizable jquery plugin to play and stop animated gifs. gifplayer contains a cross-site scripting (XSS) vulnerability. This vulnerability is fixed in 0.3.7.

    gifplayer gifplayer drupal/gifplayerPHP Node.js
    • Обновитесь до 0.3.7
    • Обновитесь до 1.5.0
    • Обновитесь до 2.0.4
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  19. CVE-2025-2967

    Средний · CVSS 5.1Нет опубликованного исправления

    ConcreteCMS Cross-Site Scripting (XSS) via HTML Block Text Field

    A vulnerability was found in ConcreteCMS up to 9.3.9. It has been classified as problematic. This affects the function Save of the component HTML Block Handler. The manipulation of the argument content leads to HTML injection. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

    concrete5/concrete5PHP
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  20. CVE-2025-1861

    Средний · CVSS 6.3EPSS 0,86%Есть исправление

    Stream HTTP wrapper truncates redirect location to 1024 bytes

    In PHP from 8.1.* before 8.1.32, from 8.2.* before 8.2.28, from 8.3.* before 8.3.19, from 8.4.* before 8.4.5, when parsing HTTP redirect in the response to an HTTP request, there is currently limit on the location value size caused by limited size of the location buffer to 1024. However as per RFC9110, the limit is recommended to be 8000. This may lead to incorrect URL truncation and redirecting to a wrong location.

    php php8.2 php8.4 php8.4 php5 php7.0 php7.2 php7.4 php8.1 php8.3Операционные системы PHP
    • Обновитесь до 7.0.33-0ubuntu0.16.04.16+esm15
    • Обновитесь до 7.2.24-0ubuntu0.18.04.17+esm8
    • Обновитесь до 7.4.3-4ubuntu2.29
    • Обновитесь до 8.1.2-1ubuntu2.21
    • Обновитесь до 8.1.32
    • Обновитесь до 8.2.28
    • Обновитесь до 8.2.28-1~deb12u1
    • Обновитесь до 8.3.19
    • Обновитесь до 8.3.6-0ubuntu0.24.04.4
    • Обновитесь до 8.4.5
    • Обновитесь до 8.4.5-1
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

Проверьте свой сервер

Сопоставьте установленный стек и версии со свежими базами уязвимостей.

Проверьте свой сервер →