CVE-2024-4577 - 又一个PHP RCE：让PHP-CGI参数注入再次伟大！

这是我在准备Black Hat USA演讲时发现的额外漏洞。我相信官方公告（应该很快就会发布）已经涵盖了大部分细节。尽管PHP-CGI随着时间的推移逐渐被淘汰，但这个漏洞默认影响Windows版的XAMPP，允许未经身份验证的攻击者通过特定字符序列在远程XAMPP服务器上执行任意代码。

鉴于PHP和XAMPP在网络生态系统中的广泛使用，我敦促每个人检查自己是否受到影响并相应更新系统。请参考DEVCORE发布的安全警报以获取缓解措施。

这个漏洞非常简单，但这也是它有趣的地方。谁能想到一个经过审查并在过去12年被证明安全的补丁，会因为一个微小的Windows功能而被绕过？我相信这个功能可能会导致更多潜在的漏洞。如果你使用这种技术，别忘了引用这篇文章！😉