Descripción
En las versiones de PHP 8.1. anteriores a la 8.1.34, 8.2. anteriores a la 8.2.30, 8.3. anteriores a la 8.3.29, 8.4. anteriores a la 8.4.16 y 8.5.* anteriores a la 8.5.1, cuando se usa el driver PDO PostgreSQL con PDO::ATTR_EMULATE_PREPARES activado, una secuencia de caracteres inválida (como \x99) en un parámetro de una sentencia preparada puede hacer que la función de entrecomillado PQescapeStringConn devuelva NULL, con la consiguiente desreferencia de un puntero nulo en pdo_parse_params(). Puede provocar caídas (fallo de segmentación) y afectar a la disponibilidad del servidor.
Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.
Métricas CVSS 4.0
Fuente: security@php.net · secondaryCVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/Vector de ataqueRed
ComplejidadAlta
Requisitos del ataquePresentes
Privilegios requeridosNinguna
Interacción del usuarioNinguna
Confidencialidad (sistema)Ninguna
Integridad (sistema)Ninguna
Disponibilidad (sistema)Alta
Confidencialidad (otros)Ninguna
Integridad (otros)Ninguna
Disponibilidad (otros)Ninguna
Referencias
¿Has encontrado una vulnerabilidad?
Escribe al equipo de seguridad del core de PrestaShop:
security-core@prestashop.com