Alexandre-Daubois

FrankenPHP before 1.13.2 contains an information disclosure vulnerability that allows later clients to read earlier clients' libxml errors because worker mode never resets LIBXML(error list) between requests. Attackers sending requests to the same worker thread can call libxml get errors() or libxml get last error() to obtain other clients' parsed-document fragments and server filesystem paths.

FrankenPHP before 1.13.2 contains a resource exhaustion vulnerability that allows unauthenticated clients to tie up PHP threads because queued requests are not cancelled when clients disconnect. Attackers can send many requests and close connections immediately, forcing handleRequestWithRegularPHPThreads and worker handlers to execute them and delay all clients sharing the thread pool.

FrankenPHP from 1.5.0 before 1.13.0 contains an incomplete environment sandbox vulnerability in which putenv writes to the process-wide OS environment via os.Setenv, leaking values across concurrent requests. Attackers reaching a request path that spawns child processes with the default environment through proc open or exec can read secrets such as database passwords set by other requests.

Um invasor remoto não autenticado pode injetar sequências de escape de terminal na interface de usuário de terminal (TUI) do operador ao enviar requisições HTTP com bytes de controle no alvo da requisição para um servidor Caddy monitorado. O problema ocorre porque a função `ParseLogLine` decodifica logs de acesso JSON de volta para bytes brutos, que são então renderizados através do auxiliar `fitCellLeft` e formatadores de linha sem neutralizar sequências de escape ou de controle de terminal. Isso permite a injeção de bytes de controle ANSI, OSC ou CSI que o emulador de terminal interpreta. Os impactos potenciais incluem a falsificação do painel de monitoramento por meio de sequências de cursor e rolagem, sequestro de área de transferência via OSC 52 e falsificação do título da janela via OSC 0/2. As abas Certificates e Routes também são afetadas. Os modos que utilizam `--json`, `--once` ou `--expose` não são impactados, pois não renderizam em um terminal interativo.

Um problema de confusão de tipo existe no `AbstractItemNormalizer` do serializador ao resolver IRIs (Internationalized Resource Identifiers) de relação. O sistema não valida o tipo de recurso retornado, permitindo que um recurso de um tipo indesejado seja silenciosamente atribuído a uma propriedade de relação. Um invasor pode explorar isso enviando requisições de escrita (POST, PUT ou PATCH) para um endpoint com relações graváveis, fornecendo um IRI de relação que aponta para um recurso de um tipo diferente da classe declarada. Isso ocorre porque a função `getResourceFromIri()` não passa um `$operation` para `IriConverter::getResourceFromIri()`, fazendo com que a guarda de tipo `is a` em `IriConverter.php` seja ignorada. Para propriedades de relação não tipadas, isso pode corromper invariantes e afetar a lógica subsequente que assume o tipo declarado.