Frankenphp

Vulnerabilities related to Frankenphp 15

• High 9.2 FrankenPHPにBrotli脆弱性、修正版1.13.2あり FrankenPHPの静的バイナリに同梱されたBrotliに脆弱性があり、外部から届くデータを解凍するアプリは、プロセスごと落とされるおそれがあります。修正版に更新し、brotli_uncompress_add()の使用箇所を洗い出してください。 CVE-2026-128014 18:34
• Medium 8.3 FrankenPHPの脆弱性、リクエスト終了時の処理で別リクエストの環境変数が漏えいするおそれ FrankenPHP 1.13.4より前のバージョンには、リクエストの終了処理中にputenv()を呼び出すと解放済みのメモリを参照してしまう脆弱性があります。getenv()の呼び出し時にプロセスが異常終了するほか、以前のリクエストの環境変数値が漏えいするおそれがあります。影響を受けるのは1.13.4より前の版で、1.13.4で修正されています。まだの場合は1.13.4以降への更新を急いでください。 CVE-2026-128015 18:34
• Medium 8.3 FrankenPHPのワーカーモードで解放済みメモリを参照される脆弱性 FrankenPHPのワーカーモードで、リクエストをまたいで残るSplTempFileObjectの処理に解放済みメモリを読み出す脆弱性が見つかりました。遠隔から細工したリクエストを送られると、無関係なデータが漏れたり、プロセスが異常終了したりするおそれがあります。影響するのは1.13.4より前の版で、修正版の1.13.4への更新が必要です。 CVE-2026-128016 18:34
• Low 6.3 FrankenPHP before 1.13.4 Pending Worker Request Denial of Service FrankenPHP before 1.13.4 contains a denial of service vulnerability in worker mode where frankenphp_handle_request() returns false without finishing the dequeued request after a fatal error during request startup. Attackers who trigger startup fatal errors against worker scripts that keep calling fr... CVE-2026-128018 18:34
• Low 6.3 FrankenPHP before 1.13.4 Double Free in Worker Mode via Non-Form POST FrankenPHP before 1.13.4 contains a double free vulnerability in worker mode that frees SG(request_info).content_type_dup twice when a worker script ends its loop after a non-form POST request. Unauthenticated attackers can send repeated JSON POST requests until the worker loop ends, aborting the wh... CVE-2026-128017 18:34
• Medium 6.3 FrankenPHP before 1.13.4 Information Disclosure via Per-Request Environment Variable Leak FrankenPHP before 1.13.4 contains an information disclosure vulnerability in worker mode that leaks per-request environment variables into later requests on the same PHP thread. Attackers can read values set via env directives with request placeholders or WithRequestEnv() through getenv() or $_SERVE... CVE-2026-128019 18:34
• Low 6.3 FrankenPHP before 1.13.2 Information Disclosure via libxml Error State in Worker Mode FrankenPHP before 1.13.2 contains an information disclosure vulnerability that allows later clients to read earlier clients' libxml errors because worker mode never resets LIBXML(error_list) between requests. Attackers sending requests to the same worker thread can call libxml_get_errors() or libxml... CVE-2026-128021 18:34
• Medium 8.2 FrankenPHPの脆弱性でサーバープロセスが停止するおそれ FrankenPHPの1.13.2より前の版には、循環参照を持つ配列を変換する際に再帰が止まらない脆弱性があり、サービス妨害(DoS)を引き起こすおそれがあります。自己参照する配列をfrankenphp_log()に渡すか、ワーカーのコールバックから返すと、Goのスタックオーバーフローでサーバープロセス全体が終了します。1.13.2で修正されているため、1.13.2以降へ更新してください。 CVE-2026-128020 18:34
• Medium 6.9 FrankenPHP before 1.13.2 Denial of Service via Queued Disconnected Requests FrankenPHP before 1.13.2 contains a resource exhaustion vulnerability that allows unauthenticated clients to tie up PHP threads because queued requests are not cancelled when clients disconnect. Attackers can send many requests and close connections immediately, forcing handleRequestWithRegularPHPTh... CVE-2026-128022 18:34
• Medium 8.2 FrankenPHPの脆弱性により細工されたJSONでサーバー全体が停止するおそれ FrankenPHP 1.13.0より前のバージョンには、goArray()の処理に起因するサービス妨害（DoS）の脆弱性があります。細工したJSONを送られると、すべてのvhostと処理中のリクエストが巻き添えで停止するおそれがあります。修正版の1.13.0に更新してください。 CVE-2026-128024 18:34
• High 9.1 FrankenPHPに認証回避の脆弱性、修正版1.13.0あり FrankenPHPの1.13.0より前の版では、ドットを含むヘッダー名を使って、前段のプロキシが付けるはずの利用者名やクライアントIPを外部から偽装できます。FrankenPHPを使う組織は1.13.0へ更新し、アプリが信頼するヘッダーも点検してください。 CVE-2026-128023 18:34
• Medium 6.9 FrankenPHP before 1.13.0 CGI Path-Split Boundary Bypass via splitPos FrankenPHP before 1.13.0 contains a path-split interpretation conflict in splitPos in cgi.go that allows unauthenticated attackers to execute protected PHP scripts by embedding .php inside a filename component. Attackers can request paths like /uploads/a.php.txt/b.php to execute uploads/a.php despit... CVE-2026-128025 18:34
• Critical 9.8 FrankenPHPのDockerイメージに脆弱性、修正版1.1.11 FrankenPHPのDockerイメージが、Alpine・PHP・Goの修正を取り込まないまま配布され、古いライブラリ経由でコード実行を受けるおそれがありました。イメージを使う組織は1.1.11以降へ更新し、コンテナを作り直してください。 CVE-2026-128027 18:34
• Medium 6.9 FrankenPHP 1.5.0 before 1.13.0 Cross-Request Environment Leakage via putenv FrankenPHP from 1.5.0 before 1.13.0 contains an incomplete environment sandbox vulnerability in which putenv writes to the process-wide OS environment via os.Setenv, leaking values across concurrent requests. Attackers reaching a request path that spawns child processes with the default environment... CVE-2026-128026 18:34
• Low 6.3 FrankenPHP before 1.13.4 Cross-Request Response Header Leak in Worker Mode CVE-2026-122233 Nov 5, 06:06