CVE-2023-52892
Publiée le 2024-06-27 · Dernière modification le 2026-06-17
Les applications PHP utilisant la bibliothèque `phpseclib` pour la vérification des certificats TLS sont concernées. Un attaquant distant peut contourner la vérification du nom d'hôte en utilisant des certificats spécialement conçus, ce qui pourrait lui permettre d'usurper l'identité d'un serveur de confiance et d'intercepter des données chiffrées. Cette action ne nécessite ni authentification ni interaction de l'utilisateur et peut être exécutée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In phpseclib before 1.0.22, 2.x before 2.0.46, and 3.x before 3.0.33, some characters in Subject Alternative Name fields in TLS certificates are incorrectly allowed to have a special meaning in regular expressions (such as a + wildcard), leading to name confusion in X.509 certificate host verification.