ZendXml and Zend Framework contain XXE and XEE Vulnerabilities
The Zend_Xml_Security::scan in ZendXml before 1.0.1 and Zend Framework before 1.12.14, 2.x before 2.4.6, and 2.5.x before 2.5.2, when running under PHP-FPM in a threaded environment, allows remote attackers to bypass security checks and conduct XML external entity (XXE) and XML entity expansion (XEE) attacks via multibyte encoded characters.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de Composer | zendframework/zendframework | >= 2.0.0, < 2.4.6, >= 2.5.0, < 2.5.2, >= 1.12.0, < 1.12.14 | 2.4.6, 2.5.2, 1.12.14 |
| Paquete de Composer | zendframework/zendframework1 | >= 1.12.0, < 1.12.14 | 1.12.14 |
| Paquete de Composer | zendframework/zendxml | >= 1.0.0, < 1.0.1 | 1.0.1 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2015-5161
- https://github.com/zendframework/zf1/issues/393
- https://github.com/zendframework/ZendXml/commit/79f478fa2af85ce1fc18ac132dee5aa714c3b532
- https://github.com/zendframework/zf1/commit/ff7edddf1410b44b5ead857c02698aad9f748d1b
- https://framework.zend.com/security/advisory/ZF2015-06
- https://github.com/FriendsOfPHP/security-advisories/blob/master/zendframework/zendframework/CVE-2015-5161.yaml
- https://github.com/FriendsOfPHP/security-advisories/blob/master/zendframework/zendframework1/CVE-2015-5161.yaml
- https://github.com/FriendsOfPHP/security-advisories/blob/master/zendframework/zendxml/CVE-2015-5161.yaml
- https://web.archive.org/web/20200228055156/http://www.securityfocus.com/bid/76177
- https://www.exploit-db.com/exploits/37765
- http://framework.zend.com/security/advisory/ZF2015-06
- http://legalhackers.com/advisories/zend-framework-XXE-vuln.txt
- http://lists.fedoraproject.org/pipermail/package-announce/2015-August/164409.html
- http://lists.fedoraproject.org/pipermail/package-announce/2015-August/165147.html
- http://lists.fedoraproject.org/pipermail/package-announce/2015-August/165173.html
- http://packetstormsecurity.com/files/133068/Zend-Framework-2.4.2-1.12.13-XXE-Injection.html
- http://seclists.org/fulldisclosure/2015/Aug/46
- http://www.debian.org/security/2015/dsa-3340
- http://www.securityfocus.com/bid/76177
- Debilidad (CWE)
CWE-611, CWE-776- Plataforma
- Composer
- Paquete
zendframework/zendframework, zendframework/zendframework1, zendframework/zendxml- Publicada
- 17.05.2022
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-xp8p-9rq5-4wgv - CC BY 4.0
Historial de vulnerabilidades: zendframework/zendxml
Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
Esta es la única vulnerabilidad conocida de este paquete.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.