CVE-2022-25481

Esta entrada está disputada, y eso lo condiciona todo. La afirmación es que ThinkPHP 5.0.24 configurado sin el parámetro PATHINFO permite a los atacantes leer todas las variables de entorno del sistema a través de index.php. Pero la descripción misma lleva una disputa de un tercero que señala que la exposición del entorno del sistema es una característica prevista del modo de depuración, lo que significa que la "vulnerabilidad" puede ser simplemente el modo de depuración comportándose como fue diseñado en un sistema que no debería tener el modo de depuración activado en producción.

Leído con honestidad, el riesgo realista no es un fallo del framework sino una mala configuración: ejecutar una característica de depuración en un entorno donde su divulgación de información no es aceptable. Si el modo de depuración está desactivado en producción —como debería estar— no hay nada que explotar aquí. La información que expone una página de depuración puede ayudar al reconocimiento de un atacante, pero eso es un lapso de fortalecimiento, no un defecto explotable de forma remota, y la disputa es una señal fuerte para clasificar esto muy por debajo de su etiqueta de 7.5 en lugar de tratarlo como una fuga genuina no autenticada.

Nuestro enfoque es integrar esto en las verificaciones de fortalecimiento de configuración y desinflar la puntuación. Donde ThinkPHP esté en uso, la pregunta accionable no es "¿estamos en 5.0.24?" sino "¿está el modo de depuración deshabilitado en producción?", que es un control que deberíamos estar aplicando independientemente de este CVE. Señalaríamos cualquier aplicación que exponga salida de depuración como un hallazgo de higiene, notaríamos la disputa de forma prominente para que no eclipse fallos reales, y lo clasificamos como bajo: un recordatorio de verificar la configuración de producción, no un incendio que combatir.