Alexandre-Daubois

FrankenPHP before 1.13.2 contains an information disclosure vulnerability that allows later clients to read earlier clients' libxml errors because worker mode never resets LIBXML(error list) between requests. Attackers sending requests to the same worker thread can call libxml get errors() or libxml get last error() to obtain other clients' parsed-document fragments and server filesystem paths.

FrankenPHP before 1.13.2 contains a resource exhaustion vulnerability that allows unauthenticated clients to tie up PHP threads because queued requests are not cancelled when clients disconnect. Attackers can send many requests and close connections immediately, forcing handleRequestWithRegularPHPThreads and worker handlers to execute them and delay all clients sharing the thread pool.

FrankenPHP from 1.5.0 before 1.13.0 contains an incomplete environment sandbox vulnerability in which putenv writes to the process-wide OS environment via os.Setenv, leaking values across concurrent requests. Attackers reaching a request path that spawns child processes with the default environment through proc open or exec can read secrets such as database passwords set by other requests.

An unauthenticated remote attacker can inject terminal escape sequences into the operator's terminal user interface (TUI) by sending HTTP requests with control bytes in the request target to a monitored Caddy server. The issue occurs because the `ParseLogLine` function decodes JSON access logs back into raw bytes, which are then rendered via the `fitCellLeft` helper and row formatters without neutralizing terminal escape or control sequences. This allows the injection of ANSI, OSC, or CSI control bytes that the terminal emulator interprets. Potential impacts include monitoring-dashboard spoofing through cursor and scroll sequences, clipboard hijacking via OSC 52, and window-title spoofing via OSC 0/2. The Certificates and Routes tabs are also affected. Modes using `--json`, `--once`, or `--expose` are not impacted as they do not render to an interactive terminal.

توجد مشكلة في الخلط بين الأنواع في `AbstractItemNormalizer` الخاص بالمُسلسل عند تحليل معرّفات الموارد الدولية (IRIs). يفشل النظام في التحقق من صحة نوع المورد الذي تم إرجاعه، مما يسمح بتعيين مورد من نوع غير مقصود إلى خاصية علاقة دون إظهار أي رسالة خطأ. يمكن للمهاجم استغلال هذه الثغرة عن طريق إرسال طلبات كتابة (POST أو PUT أو PATCH) إلى نقطة نهاية تحتوي على علاقات قابلة للكتابة، مع توفير معرّف IRI للعلاقة يشير إلى مورد من نوع مختلف عن الفئة المعلنة. يحدث هذا لأن `getResourceFromIri()` لا تمرر `$operation` إلى `IriConverter::getResourceFromIri()`، مما يؤدي إلى تخطي حارس النوع `is a` في `IriConverter.php`. بالنسبة لخصائص العلاقات غير المحددة النوع، يمكن أن يؤدي هذا إلى إتلاف الثوابت والتأثير على المنطق اللاحق الذي يفترض النوع المعلن.