CVE-2023-0567

password_verify() always returns true for some invalid hashes

CVSS 3.1High

7.7/ 10.0

Опубликовано

16 февраля 2023 г.

Обновлено

19 июля 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.0.28, 8.1.16, 8.2.3

Обновить PHP до версий 8.0.28, 8.1.16 или 8.2.3 соответственно.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Логическая ошибка в функции password_verify() в PHP при валидации поврежденных Blowfish-хешей. Приводит к успешной аутентификации с любым паролем.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Функция password_verify() ошибочно валидирует некорректные хеши Blowfish как истинные вместо возврата false при разборе структуры хеша.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Обход аутентификации: если в БД сохранен некорректный Blowfish-хеш учетной записи, вход выполняется под любым введенным паролем.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

PHP GroupPHP

>= 8.0.*➔Fix: 8.0.28

PHP GroupPHP

>= 8.1.*➔Fix: 8.1.16

PHP GroupPHP

>= 8.2.*➔Fix: 8.2.3

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

bugs.php.nethttps://bugs.php.net/bug.php?id=81744
github.comhttps://github.com/php/php-src/security/advisories/GHSA-7fj2-8x79-rjf4

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2023-0567: password_verify() always returns true for some invalid hashes. URL: https://cve.futuretools.ru/cve/CVE-2023-0567

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2023_0567,
  title = {{CVE-2023-0567: password_verify() always returns true for some invalid hashes}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2023-0567}},
  note = {Оперативный инженерный анализ киберугроз}
}