CVE-2024-8926
Vulnerabilidad de inyección de parámetros en PHP CGI (bypass de CVE-2024-4577)
- Publicado
- 8 oct 2024
- Actualizado
- 3 nov 2025
- Asignación de CNA
- php
- Evidencia observada
- 5 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 89,1 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
En las versiones de PHP 8.1.* anteriores a 8.1.30, 8.2.* anteriores a 8.2.24, 8.3.* anteriores a 8.3.12, al utilizar ciertas configuraciones no estándar de páginas de códigos de Windows, las correcciones para CVE-2024-4577 https://github.com/advisories/GHSA-vxpp-6299-mxw3 aún se pueden omitir y se puede lograr la misma inyección de comandos relacionada con el comportamiento de la página de códigos "Best Fit" de Windows. Esto puede permitir que un usuario malintencionado pase opciones al binario PHP que se está ejecutando y, por lo tanto, revele el código fuente de los scripts, ejecute código PHP arbitrario en el servidor, etc.
Fuentes
1- php-cgi-InjectorExploit
Una herramienta de penetración de seguridad para probar CVE-2024-4577 y CVE-2024-8926.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.