ThinkPHP Framework vulnerable to remote code execution

NGHIÊM TRỌNG 9.8CVE-2022-47945 · GHSA-p4qr-vq2g-22wp · Công bố 23/12/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-47945 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng topthink/framework, thinkphp (thinkphp).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 30.2%, cao hơn 98.2% các lỗ hổng khác.
Cách xử lý: cập nhật lên 6.0.14 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
topthink/framework Packagist	`< 6.0.14`	`6.0.14`
thinkphp thinkphp	`< 6.0.14`	`6.0.14`

Mô tả

ThinkPHP Framework before 6.0.14 allows local file inclusion via the lang parameter when the language pack feature is enabled (lang_switch_on=true). An unauthenticated and remote attacker can exploit this to execute arbitrary operating system commands, as demonstrated by including pearcmd.php.

Mô tả của NVD

ThinkPHP Framework before 6.0.14 allows local file inclusion via the lang parameter when the language pack feature is enabled (lang_switch_on=true). An unauthenticated and remote attacker can exploit this to execute arbitrary operating system commands, as demonstrated by including pearcmd.php.