FICHE CVE

CVE-2016-7413

Publiée le 2016-09-17 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions de PHP antérieures à 5.6.26 et 7.0.11 sont concernées si elles utilisent l'extension WDDX pour traiter des données XML. Un attaquant distant peut provoquer le plantage du serveur ou potentiellement exécuter du code arbitraire en envoyant un document XML spécialement conçu dont il manque une balise de fermeture. Cette attaque est facile à réaliser car elle ne nécessite ni authentification ni interaction de l'utilisateur et peut être lancée via le réseau.

CVSS 3.09.8 CRITIQUE

Type de faiblesse

Utilisation après libération (use after free) · CWE-416

Publiée2016-09-17

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Use-after-free vulnerability in the wddx_stack_destroy function in ext/wddx/wddx.c in PHP before 5.6.26 and 7.x before 7.0.11 allows remote attackers to cause a denial of service or possibly have unspecified other impact via a wddxPacket XML document that lacks an end-tag for a recordset field element, leading to mishandling in a wddx_deserialize call.