Vulnerabilidad en PHP (CVE-2023-3823)

En las versiones de PHP 8.0.* antes de la 8.0.30, 8.1.* antes de la 8.1.22, y 8.2.* antes de la 8.2.8 varias funciones XML se basan en el estado global de libxml para rastrear variables de configuración, como si las entidades externas están cargadas. Se asume que este estado no cambia a menos que el usuario lo cambie explícitamente llamando a la función apropiada. Sin embargo, dado que el estado es global del proceso, otros módulos - como ImageMagick - pueden también usar esta librería dentro del mismo proceso, y cambiar ese estado global para sus propósitos internos, y dejarlo en un estado en el que la carga de entidades externas esté habilitada. Esto puede llevar a la situación donde XML externo es analizado con entidades externas cargadas, lo que puede llevar a la divulgación de cualquier archivo local accesible a PHP. Este estado vulnerable puede persistir en el mismo proceso a través de muchas peticiones, hasta que el proceso sea cerrado.