CVE-2025-14177: PHP Group PHP 中的 CWE-125 越界读取漏洞

严重性： 中等 类型： 漏洞

CVE-2025-14177

在以下PHP版本中： 8.1.* 早于 8.1.34， 8.2.* 早于 8.2.30， 8.3.* 早于 8.3.29， 8.4.* 早于 8.4.16， 8.5.* 早于 8.5.1，

当在多块模式下（例如通过 php://filter）读取图像时，getimagesize() 函数可能将未初始化的堆内存泄露到 APPn 段（例如 APP1）中。这是由于 php_read_stream_all_chunks() 中的一个错误导致的，该错误覆盖了缓冲区但没有移动指针，导致尾部字节未初始化。这可能导致敏感堆数据的信息泄露，并影响目标服务器的机密性。

来源： CVE Database V5 发布日期： 2025年12月27日，星期六

供应商/项目： PHP Group 产品： PHP

技术细节

• 数据版本： 5.2
• 分配者短名称： php
• 预留日期： 2025-12-06T06:23:06.907Z
• Cvss 版本： 4.0
• 状态： 已发布
• 威胁 ID： 6950383f91db97df3a07990f
• 添加到数据库时间： 2025年12月27日，下午7:49:19
• 最后更新时间： 2025年12月29日，上午4:10:26
• 浏览量： 26

相关威胁

• CVE-2025-15169: BiggiDroid Simple PHP CMS 中的 SQL 注入漏洞（中等） - 2025年12月29日，星期一
• CVE-2025-52691: SmarterTools SmarterMail 中的漏洞（严重） - 2025年12月29日，星期一
• CVE-2025-15168: itsourcecode 学生管理系统中的 SQL 注入漏洞（中等） - 2025年12月29日，星期一
• CVE-2025-15167: itsourcecode 在线蛋糕订购系统中的 SQL 注入漏洞（中等） - 2025年12月29日，星期一
• CVE-2025-15166: itsourcecode 在线蛋糕订购系统中的 SQL 注入漏洞（中等） - 2025年12月29日，星期一