CVE-2026-6103
Publiée le 2026-09-25 · Dernière modification le 2026-09-25
Les applications PHP utilisant la classe PharData pour traiter des archives TAR sont concernées. Un attaquant peut fournir un fichier d'archive spécialement conçu pour tromper le système et l'inciter à extraire des fichiers malveillants cachés qui semblent légitimes. Cela nécessite un accès local au système ou un moyen de télécharger un fichier sur le serveur, mais ne requiert ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
phar_tar_number() parses the octal size field of a TAR header into a uint32_t with no overflow check. The field is 11 octal digits wide and holds values up to 0x1FFFFFFFF, so a size above 0xFFFFFFFF silently wraps. The parser then skips the wrong number of data blocks and interprets attacker-controlled file content as the next TAR header, which lets a crafted archive inject entries that PharData reports and extracts as if they were genuine.