Résumé
généré automatiquement à partir des données NVDLe driver PDO Firebird de PHP (branches 8.2, 8.3, 8.4 et 8.5) gère mal les octets NUL lors de la préparation des requêtes SQL : un jeton de chaîne contenant un NUL est copié via strncat(), ce qui supprime le guillemet de fermeture et fait interpréter les jetons suivants comme faisant partie de la chaîne. Cela permet une injection SQL (CWE-89) lorsque des valeurs contrôlées par l'attaquant sont passées par PDO::quote() puis intégrées aux requêtes. La sévérité est critique, avec un score CVSS v3.1 de 9.8.
Description NVD (anglais)
In PHP versions 8.2.* before 8.2.31, 8.3.* before 8.3.31, 8.4.* before 8.4.21, and 8.5.* before 8.5.6, the PDO Firebird driver improperly handles NUL bytes when preparing SQL queries. During token-by-token query construction, a string token containing a NUL byte is copied via strncat(), which stops at the NUL byte, dropping the closing quote and causing subsequent SQL tokens to be interpreted as part of the string. This allows SQL injection when attacker-controlled values are quoted via PDO::quote() and embedded in SQL statements.
EPSS · FIRST.org
0,44 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 36 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 10 mai 2026
- Mis à jour
- 25 juil. 2026
- Statut
- Modified
- Source
- security@php.net
Produits affectés
Faiblesses (CWE)
CVEs similaires
Autres vulnérabilités de type CWE-89
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.