Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Zend (CVE-2012-3363)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-611 Restricción incorrecta de referencia a entidad externa XML (XXE)
Fecha de publicación:
13/02/2013
Última modificación:
15/02/2024

Descripción

Zend_XmlRpc 1.x de Zend Framework antes de v1.11.12 y antes v1.12.0 1.12.x,94 no controla correctamente las clases SimpleXMLElement, lo que permite a atacantes remotos leer archivos arbitrarios o crear conexiones TCP a través de una referencia de entidad externa en un elemento DOCTYPE en un XML -RPC petición, también conocido como un XML entidad externa (XXE) ataque de inyección.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:zend:zend_framework:*:*:*:*:*:*:*:* 1.0.0 (incluyendo) 1.11.12 (excluyendo)
cpe:2.3:a:zend:zend_framework:1.12.0:rc1:*:*:*:*:*:*
cpe:2.3:a:zend:zend_framework:1.12.0:rc2:*:*:*:*:*:*
cpe:2.3:a:zend:zend_framework:1.12.0:rc3:*:*:*:*:*:*
cpe:2.3:a:zend:zend_framework:1.12.0:rc4:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:17:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:18:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:6.0:*:*:*:*:*:*:*