CVE-2026-24895
Publiée le 2026-02-12 · Dernière modification le 2026-06-17
Les serveurs d'application FrankenPHP antérieurs à la version 1.11.2 sont affectés par une erreur de logique dans la gestion des caractères Unicode spéciaux dans les chemins de requête. Un attaquant peut utiliser des URL spécifiquement conçues pour inciter le serveur à exécuter un fichier non prévu sur le système, ce qui pourrait permettre une exécution complète de code à distance. Il s'agit d'une faille à haut risque car elle peut être déclenchée via le réseau sans aucune authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
FrankenPHP is a modern application server for PHP. Prior to 1.11.2, FrankenPHP’s CGI path splitting logic improperly handles Unicode characters during case conversion. The logic computes the split index (for finding .php) on a lowercased copy of the request path but applies that byte index to the original path. Because strings.ToLower() in Go can increase the byte length of certain UTF-8 characters (e.g., Ⱥ expands when lowercased), the computed index may not align with the correct position in the original string. This results in an incorrect SCRIPT_NAME and SCRIPT_FILENAME, potentially causing FrankenPHP to execute a file other than the one intended by the URI. This vulnerability is fixed in 1.11.2.