Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Import_request_variables (CVE-2007-1396)

Gravedad CVSS v2.0:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
10/03/2007
Última modificación:
09/04/2025

Descripción

La función import_request_variables en PHP versión 4.0.7 hasta 4.4.6 y versión 5.x anterior a 5.2.2, cuando se llama sin prefijo, no impide que (1) GET, (2) POST, (3) COOKIE, (4) FILES, (5) SERVER, (6) SESSION y otras super globales se sobrescriban, lo que permite a atacantes remotos suplantar la dirección IP de origen y el datos Referer, y tienen otro impacto no especificado. NOTA: se podría argumentar que se trata de una limitación de diseño de PHP y que sólo el uso inapropiado de esta característica, es decir, errores de implementación en aplicaciones, debe incluirse en el CVE. Sin embargo, ha sido corregido por el proveedor.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:php:php:4.0.7:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.1.0:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.1.1:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.1.2:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.2.0:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.2.1:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.2.2:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.2.3:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.3.0:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.3.1:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.3.2:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.3.3:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.3.4:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.3.5:*:*:*:*:*:*:*
cpe:2.3:a:php:php:4.3.6:*:*:*:*:*:*:*