password_verify() always returns true for some invalid hashes (PHP Group PHP)
En bref
- Source
- NVD
- EPSS
- EPSS 0.92 % · centile 60 ()
- État
- PUBLISHED
- Publiée
- Mise à jour
- Attribuée par
- php
- Statut NVD
- Modified
Rechercher sur…
Description
In PHP 8.0.X before 8.0.28, 8.1.X before 8.1.16 and 8.2.X before 8.2.3, password_verify() function may accept some invalid Blowfish hashes as valid. If such invalid hash ever ends up in the password database, it may lead to an application allowing any password for this entry as valid.
Faiblesses (CWE)
- CWE-916 — Hachage de mot de passe à coût de calcul insuffisant
Références
Scores
| Version | Score | Vecteur | Évalué par |
|---|---|---|---|
| CVSS 3.1 | HIGH 7.7 | CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N | php |
| CVSS 3.1 | HIGH 8.1 | CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N | CISA-ADP |
| CVSS 3.1 | HIGH 7.7 | CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N | NVD · security@php.net (Secondary) |
| CVSS 3.1 | MEDIUM 6.2 | CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N | NVD · nvd@nist.gov (Primary) |
| CVSS 3.1 | HIGH 8.1 | CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N | NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary) |
Références européennes
- ENISA EUVD · EUVD-2023-12609
- GCVE · GCVE-0-2023-0567
Avis du CERT-FR
- CERTFR-2024-AVI-0866 — Multiples vulnérabilités dans les produits Juniper Networks · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0119 — Multiples vulnérabilités dans les produits Siemens · cert.ssi.gouv.fr
- CERTFR-2023-AVI-0135 — Multiples vulnérabilités dans PHP · cert.ssi.gouv.fr
Configurations affectées (CPE NVD)
cpe:2.3:a:php:php:*:*:*:*:*:*:*:*≥ 8.0.0 < 8.0.28cpe:2.3:a:php:php:*:*:*:*:*:*:*:*≥ 8.1.0 < 8.1.16cpe:2.3:a:php:php:*:*:*:*:*:*:*:*≥ 8.2.0 < 8.2.3
Produits affectés
| Produit | Versions |
|---|---|
| PHP Group · PHP | affected 8.0.* < 8.0.28 ; affected 8.1.* < 8.1.16 ; affected 8.2.* < 8.2.3 |
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |