CVE-2021-3007
** EN DISPUTA ** Laminas Project laminas-http versión anterior a 2.14.2, y Zend Framework versión 3.0.0, tiene una vulnerabilidad de deserialización que...
- Publicado
- 4 ene 2021
- Actualizado
- 3 ago 2024
- Asignación de CNA
- mitre
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAlto · próximos 30 días
- Percentil
- 99,5 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
** EN DISPUTA ** Laminas Project laminas-http versión anterior a 2.14.2, y Zend Framework versión 3.0.0, tiene una vulnerabilidad de deserialización que puede llevar a la ejecución remota de código si el contenido es controlable, relacionado con el método __destructura de la clase Zend\Http\Response\Stream en Stream.php. NOTA: Zend Framework ya no está soportado por el mantenedor. NOTA: el proveedor de laminas-http considera esto como una "vulnerabilidad en el propio lenguaje PHP" pero ha añadido cierto tipo de chequeo como una forma de prevenir la explotación en casos de uso (no recomendado) donde los datos suministrados por el atacante pueden ser deserializados
Fuentes
3CVE-2021-3007 Entorno de Prueba Vulnerable - Deserialización RCE de Laminas/Zend Framework
Reproducible Proof-of-Concept para CVE-2021-3007 (RCE por deserialización HTTP en Laminas/Zend) con un script de exploit independiente, plantilla de Nuclei y entorno vulnerable basado en Docker para pruebas de seguridad autorizadas.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.