Alta 8.8 CVSS 3.1 PHP Publicado el 09/06/2024

La corrección de CVE-2024-1874 en proc_open() no funciona con espacios finales en el comando

CVECVE-2024-5585 GHSASin aviso GHSA

Ver en la fuente Ver JSON Última modificación en la fuente: 17/06/2026

Descripción

En las versiones de PHP 8.1. anteriores a la 8.1.29, 8.2. anteriores a la 8.2.20 y 8.3.* anteriores a la 8.3.8, la corrección de CVE-2024-1874 no funciona si el nombre del comando incluye espacios al final. Problema original: al usar proc_open() con la sintaxis de array, por un escape insuficiente, si los argumentos del comando ejecutado están controlados por un usuario malicioso, este puede proporcionar argumentos que ejecuten comandos arbitrarios en la shell de Windows.

Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.

Métricas CVSS 3.1

Fuente: security@php.net · secondary

Alta 8.8

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de ataqueRed

ComplejidadAlta

Privilegios requeridosNinguna

Interacción del usuarioNinguna

AlcanceSin cambio

ConfidencialidadAlta

IntegridadAlta

DisponibilidadBaja

Referencias

Mailing Listopenwall.com
http://www.openwall.com/lists/oss-security/2024/06/07/1
Exploitgithub.com
https://github.com/php/php-src/security/advisories/GHSA-9fcc-425m-g385
Third Party Advisorylists.fedoraproject.org
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PKGTQUOA2NTZ3RXN22CSAUJPIRUYRB4B/
Fuentelists.fedoraproject.org
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/W45DBOH56NQDRTOM2DN2LNA2FZIMC3PK/
Fuentesecurity.netapp.com
https://security.netapp.com/advisory/ntap-20240726-0002/
Fuentevicarius.io
https://www.vicarius.io/vsociety/posts/command-injection-vulnerability-in-php-on-windows-systems-cve-2024-1874-and-cve-2024-5585

¿Has encontrado una vulnerabilidad?

Escribe al equipo de seguridad del core de PrestaShop:

security-core@prestashop.com

Avisos relacionados

PHP (29)

IDAvisoComponenteSeveridadVersiones afectadasPublicadoParche

CVE-2026-109619 Ejecución remota de código por estado global que apunta a memoria de peticiones ya liberada PHP Crítica 9.2 ≥ 5.4.0 < 8.2.35
≥ 8.3.0 < 8.3.36
≥ 8.4.0 < 8.4.27
+1 21/10/2026 No

CVE-2026-109618 Ejecución remota de código por memoria sin inicializar tras un error de falta de memoria (OOM) PHP Crítica 9.8 ≥ 7.3.0 < 8.2.35
≥ 8.3.0 < 8.3.36
≥ 8.4.0 < 8.4.27
+1 21/10/2026 No

CVE-2026-91765 Denegación de servicio por recursión sin límite en el analizador XML de SOAP PHP Alta 7.5 ≥ 8.2.0 < 8.2.34
≥ 8.3.0 < 8.3.35
≥ 8.4.0 < 8.4.26
+1 25/09/2026 No

CVE-2026-17544 Escritura fuera de límites en bccomp() con corrupción de pila y montón PHP Crítica 9.8 ≥ 8.4.0 < 8.4.24
≥ 8.5.0 < 8.5.9 30/07/2026 No

¿Tu servidor usa PHP 8.1.x ≥ 8.1.0 < 8.1.29, 8.2.x ≥ 8.2.0 < 8.2.20, 8.3.x ≥ 8.3.0 < 8.3.8?

PrestaShield lo comprueba desde fuera, sin acceso FTP, y te avisa de cada aviso nuevo que te afecte.

Detectar si mi tienda está afectada