ENAccederEmpezar gratis
Alta 7.2 CVSS 3.1 PHP Publicado el 24/11/2024

HTTP request smuggling a través de un proxy con request_fulluri

CVECVE-2024-11234 GHSASin aviso GHSA
Ver en la fuente Ver JSON Última modificación en la fuente: 17/06/2026

Descripción

En las versiones de PHP 8.1. anteriores a la 8.1.31, 8.2. anteriores a la 8.2.26 y 8.3.* anteriores a la 8.3.14, al usar streams con un proxy configurado y la opción «request_fulluri», la URI no se sanea correctamente, lo que puede provocar HTTP request smuggling y permitir al atacante usar el proxy para hacer peticiones HTTP arbitrarias con origen en el servidor, y acceder así a recursos que normalmente no están disponibles para un usuario externo.

Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.

Métricas CVSS 3.1

Fuente: security@php.net · secondary
Alta 7.2
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Vector de ataqueRed
ComplejidadAlta
Privilegios requeridosNinguna
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadBaja
IntegridadBaja
DisponibilidadNinguna

Referencias

¿Has encontrado una vulnerabilidad?

Escribe al equipo de seguridad del core de PrestaShop:

security-core@prestashop.com

Avisos relacionados

PHP (29)
IDAvisoComponenteSeveridadVersiones afectadasPublicadoParche
CVE-2026-109619 Ejecución remota de código por estado global que apunta a memoria de peticiones ya liberada PHP Crítica 9.2 ≥ 5.4.0 < 8.2.35
≥ 8.3.0 < 8.3.36
≥ 8.4.0 < 8.4.27
+1 21/10/2026 No
CVE-2026-109618 Ejecución remota de código por memoria sin inicializar tras un error de falta de memoria (OOM) PHP Crítica 9.8 ≥ 7.3.0 < 8.2.35
≥ 8.3.0 < 8.3.36
≥ 8.4.0 < 8.4.27
+1 21/10/2026 No
CVE-2026-91765 Denegación de servicio por recursión sin límite en el analizador XML de SOAP PHP Alta 7.5 ≥ 8.2.0 < 8.2.34
≥ 8.3.0 < 8.3.35
≥ 8.4.0 < 8.4.26
+1 25/09/2026 No
CVE-2026-17544 Escritura fuera de límites en bccomp() con corrupción de pila y montón PHP Crítica 9.8 ≥ 8.4.0 < 8.4.24
≥ 8.5.0 < 8.5.9 30/07/2026 No

¿Tu servidor usa PHP 8.1.x ≥ 8.1.0 < 8.1.31, 8.2.x ≥ 8.2.0 < 8.2.26, 8.3.x ≥ 8.3.0 < 8.3.14?

PrestaShield lo comprueba desde fuera, sin acceso FTP, y te avisa de cada aviso nuevo que te afecte.
Detectar si mi tienda está afectada