FrankenPHPにBrotli脆弱性、修正版1.13.2あり
Summary
FrankenPHPの静的バイナリに同梱されたBrotliに脆弱性があり、外部から届くデータを解凍するアプリは、プロセスごと落とされるおそれがあります。修正版に更新し、brotli_uncompress_add()の使用箇所を洗い出してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
FrankenPHPの静的バイナリに同梱されたBrotliに脆弱性があり、外部から届くデータを解凍するアプリは、プロセスごと落とされるおそれがあります。修正版に更新し、brotli_uncompress_add()の使用箇所を洗い出してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| phpfrankenphp |
≥ 1.8.0, < 1.13.2→ 1.13.2 |
1.13.2 |
Original description The description as published by the source.
FrankenPHP standalone static binaries 1.8.0 before 1.13.2 bundle the PHP brotli extension statically linked with Brotli 1.2.0, whose decoder contains an out-of-bounds write (CVE-2026-111497). Unauthenticated remote attackers can send crafted data to applications that pass it to brotli_uncompress_add() to crash the entire FrankenPHP process, and possibly cause memory disclosure or code execution.
Source: CVE.org (CVE Program・cvelistV5) NVD