Errores críticos del controlador PHP PDO exponen riesgos de inyección SQL de Firebird y DoS de PostgreSQL

Un par de fallas recientemente reveladas en la capa del controlador de la base de datos de PHP muestran que incluso el código maduro puede ocultar sorpresas peligrosas. Los errores viven dentro de PHP Data Objects (PDO), la capa de abstracción que utilizan las aplicaciones web para comunicarse con bases de datos como Firebird y PostgreSQL.

El primer problema afecta al controlador pdo_firebird y abre la puerta a la inyección SQL a través de bytes NUL ocultos dentro de cadenas entrecomilladas correctamente. Ambos errores se escaparon porque la capa del controlador confiaba en suposiciones sobre el manejo de cadenas C que no siempre son ciertas. PT Swarm dijo en un informe compartido con Cyber ​​Security News (CSN) que las fallas muestran que la seguridad de la base de datos en PHP depende tanto de los componentes internos del controlador como del código de la aplicación. Errores críticos del controlador PHP PDO La primera vulnerabilidad, rastreada como CVE-2026-25289 y clasificada como de gravedad alta, se centra en cómo el controlador pdo_firebird reconstruye declaraciones SQL después de que ya se han citado de forma segura.

En la prueba de concepto, esto permitió una inyección basada en UNION que reveló detalles de la versión de la base de datos interna que nunca deberían haber sido visibles. La publicación Errores críticos del controlador PHP PDO exponen riesgos de inyección SQL de Firebird y DoS de PostgreSQL apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗