Valinor error messages leading to potential data exfiltration before v0.12.0
<?php
namespace My\App;
use CuyZ\Valinor\Mapper\MappingError;
use CuyZ\Valinor\Mapper\Tree\Node;
use CuyZ\Valinor\Mapper\Tree\NodeTraverser;
use CuyZ\Valinor\MapperBuilder;
require_once __DIR__ . '/Valinor/vendor/autoload.php';
final class Money
{
private function __construct(public readonly string $amount)
{
}
public static function fromString(string $money): self
{
if (1 !== \preg_match('/^\d+ [A-Z]{3}$/', $money)) {
throw new \InvalidArgumentException(\sprintf('Given "%s" is not a recognized monetary amount', $money));
}
return new self($money);
}
}
class Foo
{
public function __construct(
private readonly Money $a,
private readonly Money $b,
private readonly Money $c,
) {}
}
$mapper = (new MapperBuilder())
->registerConstructor([Money::class, 'fromString'])
->mapper();
try {
var_dump($mapper->map(Foo::class, [
'a' => 'HAHA',
'b' => '100 EUR',
'c' => 'USD 100'
]));
} catch (MappingError $e) {
$messages = (new NodeTraverser(function (Node $node) {
foreach ($node->messages() as $message) {
var_dump([
'$message',
$message->path(),
$message->body()
]);
}
return '';
}))->traverse($e->node());
iterator_to_array($messages);
}
Now, this is quite innocent: it produces following output:
❯ php value-object-conversion.php
array(3) {
[0]=>
string(8) "$message"
[1]=>
string(1) "a"
[2]=>
string(48) "Given "HAHA" is not a recognized monetary amount"
}
array(3) {
[0]=>
string(8) "$message"
[1]=>
string(1) "c"
[2]=>
string(51) "Given "USD 100" is not a recognized monetary amount"
}
The problem is that nowhere I told valinor that it could use Throwable#getMessage().
This is a problem with cases where you get:
- an SQL exception showing an SQL snippet
- a DB connection exception showing DB ip address/username/password
- a timeout detail / out of memory detail (exploring DDoS possibilities)
This allows for potential data exfiltration, DDoS, enumeration attacks, etc.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de Composer | cuyz/valinor | < 0.12.0 | 0.12.0 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N- Debilidad (CWE)
CWE-200, CWE-209- Plataforma
- Composer
- Paquete
cuyz/valinor- Publicada
- 12.07.2022
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-5pgm-3j3g-2rc7 - CC BY 4.0
Historial de vulnerabilidades: cuyz/valinor
Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 2
- Primera → última
- 04.2022 07.2022
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 2
Divulgaciones por año
- 2022: 2
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 0
-
Valinor error messages leading to potential data exfiltration before v0.12.0 esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.