Iniciar sesión
Deutsch English Español Polski
Media

Several Zend Products Vulnerable to XXE and XEE attacks

  • Publicada: 14.05.2022
  • Actualizado: 11.10.2026 10:22

Zend Framework 1 (ZF1) before 1.12.4, Zend Framework 2 before 2.1.6 and 2.2.x before 2.2.6, ZendOpenId, ZendRest, ZendService_AudioScrobbler, ZendService_Nirvanix, ZendService_SlideShare, ZendService_Technorati, and ZendService_WindowsAzure before 2.0.2, ZendService_Amazon before 2.0.3, and ZendService_Api before 1.0.0 allow remote attackers to read arbitrary files, send HTTP requests to intranet servers, and possibly cause a denial of service (CPU and memory consumption) via an XML External Entity (XXE) attack. NOTE: this issue exists because of an incomplete fix for CVE-2012-5657.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer zendframework/zendframework1 < 1.12.4 1.12.4
Paquete de Composer zendframework/zendopenid < 2.0.2 2.0.2
Paquete de Composer zendframework/zendrest < 2.0.2 2.0.2
Paquete de Composer zendframework/zendservice-amazon < 2.0.3 2.0.3
Paquete de Composer zendframework/zendservice-api < 1.0.0 1.0.0
Paquete de Composer zendframework/zendservice-audioscrobbler < 2.0.2 2.0.2
Paquete de Composer zendframework/zendservice-nirvanix < 2.0.2 2.0.2
Paquete de Composer zendframework/zendservice-slideshare < 2.0.2 2.0.2
Paquete de Composer zendframework/zendservice-technorati < 2.0.2 2.0.2
Paquete de Composer zendframework/zendservice-windowsazure < 2.0.2 2.0.2

Referencias

Puntuación CVSS -
Debilidad (CWE)
CWE-611
Plataforma
Composer
Paquete
zendframework/zendframework1, zendframework/zendopenid, zendframework/zendrest
Publicada
14.05.2022
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-43xg-87xw-jpv8 - CC BY 4.0

Historial de vulnerabilidades: zendframework/zendframework1

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (34) en el archivo
Entradas en total
34
Primera → última
05.2022 06.2024
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 8
  • Alta 9
  • Media 17

Divulgaciones por año

Gravedad:
  1. Zendframework1 Potential SQL injection in ORDER and GROUP functions
    Crítica · 9.8 ghsa-6fqw-j3vm-7f66 < 1.12.20 1.12.20
  2. Zendframework Potential Information Disclosure and Insufficient Entropy vulnerability
    Alta · 7.5 ghsa-848f-mph5-9pm9 >= 1.12.0, < 1.12.17 1.12.17
  3. ZendFramework1 Potential Insufficient Entropy Vulnerability
    Alta · 7.5 ghsa-8xhv-gqm4-3w99 >= 1.12.0, < 1.12.18 1.12.18
  4. Zendframework1 potential SQL injection vector using null byte for PDO (MsSql, SQLite)
    Crítica · 9.8 ghsa-v42g-7q2x-cw32 >= 1.12.0, < 1.12.16 1.12.16
  5. ZendFramework1 Potential SQL injection in the ORDER implementation of Zend_Db_Select
    Crítica · 9.8 ghsa-2x36-qhx3-7m5f >= 1.12.0, < 1.12.7 1.12.7
  6. Zendframework potential security issue in login mechanism
    Alta · 7.5 ghsa-9v78-h226-2rmq >= 1.12.0, < 1.12.4 1.12.4
  7. Zendframework Local file disclosure via XXE injection in Zend_XmlRpc
    Alta · 8.6 ghsa-229x-22xc-2f2w >= 1.0.0, < 1.11.13 1.11.13
  8. Zendframework Denial of Service vector via XEE injection
    Alta · 7.5 ghsa-2jx7-xg83-j2m7 >= 1.0.0, < 1.11.13 1.11.13
  9. ZendFramework potential XML eXternal Entity injection vectors
    Crítica · 9.8 ghsa-mhpx-3rv8-wrjm >= 1.12.0, < 1.12.4 1.12.4
  10. ZendFramework potential XML eXternal Entity injection vectors
    Alta · 7.5 ghsa-4j9x-g4x8-vcmf >= 1.11.0, < 1.11.15, >= 1.12.0, < 1.12.1 1.11.15, 1.12.1
  11. ZendFramework potential SQL Injection Vector When Using PDO_MySql
    Crítica · 9.8 ghsa-qf36-fx9f-232x >= 1.10.0, < 1.10.9, >= 1.11.0, < 1.11.6 1.10.9, 1.11.6
  12. ZendFramework local file inclusion vector in `Zend_View::setScriptPath()` and `render()`
    Alta · 7.5 ghsa-hx3m-959f-v849 >= 1.7.0, < 1.7.5 1.7.5
  13. Zend Framework SQL injection vulnerability
    Crítica · 9.8 CVE-2014-8089 >= 1.12.0, < 1.12.9 1.12.9
  14. Zend Framework XXE Vulnerability
    Alta · 7.3 CVE-2012-3363 >= 1.0.0, < 1.11.12, >= 1.12.0-rc1, < 1.12.0 1.11.12, 1.12.0
  15. Doctrine Security Misconfiguration Vulnerability
    Alta · 7.8 CVE-2015-5723 >= 1.12.0, < 1.12.16 1.12.16
  16. Zend Framework SQL injection vector using null byte for PDO
    Crítica · 9.8 CVE-2015-7695 < 1.12.16 1.12.16
  17. Zend Framework Allows SQL Injection
    Crítica · 9.8 CVE-2016-6233 < 1.12.19 1.12.19
  18. Several Zend Products Vulnerable to XXE and XEE attacks esta entrada
    Media CVE-2014-2681 < 1.12.4 1.12.4

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.