CVE-2016-9484

PHP FormMail Generator generates PHP code for standard web forms, and the code generated does not properly validate user input folder directories and is vulnerable to path traversal

CVSS 3.1SCORE

N/A/ 10.0

Опубликовано

13 июля 2018 г.

Обновлено

6 августа 2024 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2016-12-06

Регенерировать код веб-форм после обновления сервиса от 2016-12-06 либо вручную внедрить белые списки и проверку путей.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Генератор PHP FormMail создает код форм без надлежащей валидации пользовательских путей, что приводит к Path Traversal.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Сгенерированный веб-сервисом PHP-код не проверяет входные каталоги папок, позволяя удаленному неаутентифицированному пользователю манипулировать путями в запросе.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Неавторизованное чтение произвольных файлов на целевом сервере.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

PHP FormMailGenerator

>= 2016-12-06➔Fix: 2016-12-06

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

www.kb.cert.orghttps://www.kb.cert.org/vuls/id/494015
www.securityfocus.comhttp://www.securityfocus.com/bid/94778

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2016-9484: PHP FormMail Generator generates PHP code for standard web forms, and the code generated does not properly validate user input folder directories and is vulnerable to path traversal. URL: https://cve.futuretools.ru/cve/CVE-2016-9484

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2016_9484,
  title = {{CVE-2016-9484: PHP FormMail Generator generates PHP code for standard web forms, and the code generated does not properly validate user input folder directories and is vulnerable to path traversal}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2016-9484}},
  note = {Оперативный инженерный анализ киберугроз}
}