Vulnerabilidad en PHP (CVE-2025-1220)

Gravedad CVSS v3.1:

BAJA

Tipo:

CWE-918 Falsificación de solicitud en servidor (SSRF)

Fecha de publicación:

13/07/2025

Última modificación:

04/11/2025

Descripción

En las versiones de PHP 8.1.* anteriores a la 8.1.33, 8.2.* anteriores a la 8.2.29, 8.3.* anteriores a la 8.3.23 y 8.4.* anteriores a la 8.4.10, algunas funciones como fsockopen() carecen de validación para verificar que el nombre de host proporcionado no contenga caracteres nulos. Esto puede provocar que otras funciones como parse_url() traten el nombre de host de forma diferente, lo que genera problemas de seguridad si el código de usuario implementa comprobaciones de acceso antes de acceder mediante dichas funciones.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 3.70 BAJA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

3.70

Gravedad 3.x

BAJA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:php:php::::::::	8.1.0 (incluyendo)	8.1.33 (excluyendo)
cpe:2.3:a:php:php::::::::	8.2.0 (incluyendo)	8.2.29 (excluyendo)
cpe:2.3:a:php:php::::::::	8.3.0 (incluyendo)	8.3.23 (excluyendo)
cpe:2.3:a:php:php::::::::	8.4.0 (incluyendo)	8.4.10 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en PHP (CVE-2025-1220)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información