CVE-2026-25237

RCE w PEAR Pearweb przez preg_replace() z modyfikatorem /e

CVSS 9.2v4.0pub. 2026-02-03upd. 2026-02-05

Podatność w PEAR Pearweb (wersjach przed 1.33.0) umożliwia zdalne wykonanie kodu PHP poprzez użycie funkcji preg_replace() z modyfikatorem /e w mechanizmie obsługi e-maili dotyczących aktualizacji błędów. Zagrożenie jest krytyczne, ponieważ atakujący niewymagający uwierzytelnienia może wykonać dowolny kod na serwerze.

▸ Pokaż oryginał (EN)

PEAR is a framework and distribution system for reusable PHP components. Prior to version 1.33.0, use of preg_replace() with the /e modifier in bug update email handling can enable PHP code execution if attacker-controlled content reaches the evaluated replacement. This issue has been patched in version 1.33.0.

🤖 Analiza AI

Jak działa

Podatność wynika z zastosowania funkcji preg_replace() z modyfikatorem /e w kodzie obsługującym powiadomienia e-mail o zgłoszeniach błędów. Modyfikator /e powoduje, że ciąg zastępujący jest ewaluowany jako kod PHP. Jeśli atakujący jest w stanie dostarczyć kontrolowaną przez siebie treść do wyrażenia zastępującego (np. poprzez spreparowane zgłoszenie błędu), zostanie ona wykonana jako kod PHP na serwerze.

Skutki

Atakujący może uzyskać możliwość zdalnego wykonania dowolnego kodu PHP na serwerze (RCE), co w konsekwencji może prowadzić do pełnego przejęcia kontroli nad systemem, kradzieży danych lub dalszego ruchu bocznego w infrastrukturze.

Mitygacja

Należy zaktualizować PEAR Pearweb do wersji 1.33.0 lub nowszej, w której problem został naprawiony. Szczegółowe informacje dostępne są w referencjach producenta: https://github.com/pear/pearweb/security/advisories/GHSA-vhw6-hqh9-8r23

Kogo dotyczy

PEAR Pearweb w wersjach wcześniejszych niż 1.33.0

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X