CVE-2022-25481

Este registro é contestado, e isso molda tudo. A alegação é que o ThinkPHP 5.0.24 configurado sem o parâmetro PATHINFO permite que atacantes leiam todas as variáveis de ambiente do sistema via index.php. Mas a própria descrição traz uma contestação de terceiro observando que a exposição do ambiente do sistema é um recurso intencional do modo de depuração — o que significa que a "vulnerabilidade" pode ser simplesmente o modo de depuração se comportando como projetado em um sistema que não deveria ter o modo de depuração ligado em produção.

Lido com honestidade, o risco realista não é uma falha do framework, mas uma configuração incorreta: executar um recurso de depuração em um ambiente onde sua divulgação de informações não é aceitável. Se o modo de depuração estiver desligado em produção — como deveria estar —, não há nada a explorar aqui. A informação que uma página de depuração expõe pode auxiliar o reconhecimento de um atacante, mas isso é um deslize de endurecimento, não um defeito explorável remotamente, e a contestação é um forte sinal para classificar isto bem abaixo de seu rótulo 7.5, em vez de tratá-lo como um vazamento não autenticado genuíno.

Nossa abordagem é incorporar isto às verificações de endurecimento de configuração e esvaziar a pontuação. Onde o ThinkPHP estiver em uso, a pergunta acionável não é "estamos na 5.0.24", mas "o modo de depuração está desabilitado em produção", que é um controle que deveríamos impor independentemente deste CVE. Sinalizaríamos qualquer aplicativo que exponha saída de depuração como um achado de higiene, registraríamos a contestação de forma proeminente para que não tome espaço de falhas reais, e a classificaríamos como baixa — um lembrete para verificar as configurações de produção, não um incêndio a combater.