I loko o ka hale waihona puke , e hāʻawi ana i nā mea lawelawe e pale aku ma ke pani ʻana i nā faila ma ke ʻano "Phar", (), ka mea e ʻae ai i ka pale ʻana i ka pale deserialization code ma ke pani ʻana i nā huapalapala ".." ma ke ala. No ka laʻana, hiki i kahi mea hoʻouka ke hoʻohana i kahi URL e like me "phar:///path/bad.phar/../good.phar" no kahi hoʻouka, a e koho ka waihona puke i ka inoa kumu "/path/good.phar" i ka wā o ka hōʻoia ʻana, ʻoiai ʻo ka hana hou ʻana o ia ala e hoʻohana i ka faila "/path/bad.phar."
Ua hoʻomohala ʻia ka waihona puke e nā mea hana o CMS TYPO3, akā hoʻohana ʻia nō hoʻi i nā papahana Drupal и Joomla, ka mea e hoʻolilo ai iā lākou i mea palupalu. Ua hoʻoponopono ʻia ka pilikia ma nā hoʻokuʻu ʻana Papahana Drupal Ua hoʻoponopono ʻia ka pilikia ma nā hōʻano hou 7.67, 8.6.16 a me 8.7.1. Joomla Ua loaʻa ka pilikia mai ka mana 3.9.3 a ua hoʻoponopono ʻia i ka hoʻokuʻu ʻana 3.9.6. No ka hoʻoponopono ʻana i ka pilikia ma TYPO3, pono ʻoe e hoʻohou i ka waihona puke PharStreamWapper.
Mai kahi kūlana kūpono, ʻo ka nāwaliwali ma PharStreamWapper e hiki ai i ka mea hoʻohana ke Drupal ʻO Core, me nā pono 'Adminster theme', hoʻouka i kahi faila phar ʻino a hoʻokō i ke code PHP i loko, i hūnā ʻia e like me kahi waihona phar kūpono. I mea hoʻomanaʻo, hana ka hoʻouka kaua "Phar deserialization" ma ka deserializing aunoa i ka metadata mai nā faila Phar (PHP Archive) i ka wā e nānā ai i nā faila kōkua i hoʻouka ʻia no ka hana PHP file_exists() i ka wā e hana ai i nā ala e hoʻomaka ana me "phar://." Hiki ke hoʻoili i kahi faila phar ma ke ʻano he kiʻi, ʻoiai ʻo file_exists() e hoʻoholo i ke ʻano MIME e pili ana i ka ʻike o ka faila, ʻaʻole kona hoʻonui ʻana.
Source: opennet.ru
