БДУ ФСТЭК России

Уязвимость функции filter_var интерпретатора языка PHP связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально сформированного пользовательского ввода



BDU:2022-01596



Компенсирующие меры:

- ограничение возможного размера пользовательского ввода до 4 Гб;

- использование межсетевого экрана уровня приложений (WAF) для фильтрации пользовательского ввода



Источник информации:

https://pwning.systems/posts/php_filter_var_shenanigans/