FICHE CVE

CVE-2016-7414

Publiée le 2016-09-17 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions PHP 5.6.26 et 7.0.11 (ainsi que les versions antérieures) sont affectées lors du traitement d'archives PHAR spécialement conçues. Un attaquant distant non authentifié peut déclencher un accès mémoire hors limites pour faire planter le serveur ou potentiellement exécuter du code arbitraire. Cette faille est facile à exploiter car elle ne nécessite aucune interaction de l'utilisateur ni d'authentification préalable, seulement la possibilité d'envoyer un fichier malveillant au serveur.

CVSS 3.09.8 CRITIQUE

Type de faiblesse

Dépassement de tampon mémoire · CWE-119

Publiée2016-09-17

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The ZIP signature-verification feature in PHP before 5.6.26 and 7.x before 7.0.11 does not ensure that the uncompressed_filesize field is large enough, which allows remote attackers to cause a denial of service (out-of-bounds memory access) or possibly have unspecified other impact via a crafted PHAR archive, related to ext/phar/util.c and ext/phar/zip.c.