ZAP – PHP Version with Known Vulnerabilities

Details
Alert ID	20020-1
Alert Type	Passive
Status	release
Risk	High
CWE	1395
WASC	13
Technologies Targeted	All
Tags	CVE-1999-1199 CVE-2000-0505 CVE-2000-0913 CVE-2000-1204 CVE-2000-1205 CVE-2000-1206 CVE-2001-0729 CVE-2001-0730 CVE-2001-0731 CVE-2001-0925 CVE-2001-1342 CVE-2002-0061 CVE-2002-0392 CVE-2002-0654 CVE-2002-0661 CVE-2002-0839 CVE-2002-0840 CVE-2002-0843 CVE-2002-1156 CVE-2002-1592 CVE-2002-1593 CVE-2003-0016 CVE-2003-0017 CVE-2003-0020 CVE-2003-0083 CVE-2003-0132 CVE-2003-0134 CVE-2003-0189 CVE-2003-0192 CVE-2003-0245 CVE-2003-0253 CVE-2003-0254 CVE-2003-0460 CVE-2003-0542 CVE-2003-0789 CVE-2003-0987 CVE-2003-0993 CVE-2004-0113 CVE-2004-0174 CVE-2004-0488 CVE-2004-0492 CVE-2004-0493 CVE-2004-0747 CVE-2004-0748 CVE-2004-0751 CVE-2004-0786 CVE-2004-0809 CVE-2004-0811 CVE-2004-0885 CVE-2004-0940 CVE-2004-0942 CVE-2004-1834 CVE-2005-1268 CVE-2005-2088 CVE-2005-2491 CVE-2005-2700 CVE-2005-2728 CVE-2005-2970 CVE-2005-3352 CVE-2005-3357 CVE-2006-20001 CVE-2006-3747 CVE-2006-3918 CVE-2006-5752 CVE-2007-1862 CVE-2007-1863 CVE-2007-3304 CVE-2007-3847 CVE-2007-5000 CVE-2007-6388 CVE-2007-6420 CVE-2007-6421 CVE-2007-6422 CVE-2008-0005 CVE-2008-0456 CVE-2008-2364 CVE-2008-2939 CVE-2009-0023 CVE-2009-1191 CVE-2009-1195 CVE-2009-1890 CVE-2009-1891 CVE-2009-1955 CVE-2009-1956 CVE-2009-2412 CVE-2009-2699 CVE-2009-3094 CVE-2009-3095 CVE-2009-3560 CVE-2009-3720 CVE-2010-0010 CVE-2010-0408 CVE-2010-0425 CVE-2010-0434 CVE-2010-1452 CVE-2010-1623 CVE-2010-2068 CVE-2010-2791 CVE-2011-0419 CVE-2011-3192 CVE-2011-3348 CVE-2011-3368 CVE-2011-3607 CVE-2011-4317 CVE-2012-0021 CVE-2012-0031 CVE-2012-0053 CVE-2012-0883 CVE-2012-2687 CVE-2012-3499 CVE-2012-3502 CVE-2012-4557 CVE-2012-4558 CVE-2013-1862 CVE-2013-1896 CVE-2013-2249 CVE-2013-4352 CVE-2013-5704 CVE-2013-6438 CVE-2014-0098 CVE-2014-0117 CVE-2014-0118 CVE-2014-0226 CVE-2014-0231 CVE-2014-3523 CVE-2014-3581 CVE-2014-3583 CVE-2014-8109 CVE-2015-0228 CVE-2015-0253 CVE-2015-3183 CVE-2015-3185 CVE-2016-0736 CVE-2016-1546 CVE-2016-2161 CVE-2016-4975 CVE-2016-4979 CVE-2016-8740 CVE-2016-8743 CVE-2017-15710 CVE-2017-15715 CVE-2017-3167 CVE-2017-3169 CVE-2017-7659 CVE-2017-7668 CVE-2017-7679 CVE-2017-9788 CVE-2017-9789 CVE-2017-9798 CVE-2018-11763 CVE-2018-1283 CVE-2018-1301 CVE-2018-1302 CVE-2018-1303 CVE-2018-1312 CVE-2018-1333 CVE-2018-17189 CVE-2018-17199 CVE-2018-8011 CVE-2019-0190 CVE-2019-0196 CVE-2019-0197 CVE-2019-0211 CVE-2019-0215 CVE-2019-0217 CVE-2019-0220 CVE-2019-10081 CVE-2019-10082 CVE-2019-10092 CVE-2019-10097 CVE-2019-10098 CVE-2019-11043 CVE-2019-17567 CVE-2019-9517 CVE-2020-11984 CVE-2020-11985 CVE-2020-11993 CVE-2020-13938 CVE-2020-13950 CVE-2020-1927 CVE-2020-1934 CVE-2020-35452 CVE-2020-9490 CVE-2021-26690 CVE-2021-26691 CVE-2021-30641 CVE-2021-31618 CVE-2021-33193 CVE-2021-34798 CVE-2021-36160 CVE-2021-39275 CVE-2021-40438 CVE-2021-41524 CVE-2021-41773 CVE-2021-42013 CVE-2021-44224 CVE-2021-44790 CVE-2022-22719 CVE-2022-22720 CVE-2022-22721 CVE-2022-23943 CVE-2022-26377 CVE-2022-28330 CVE-2022-28614 CVE-2022-28615 CVE-2022-29404 CVE-2022-30522 CVE-2022-30556 CVE-2022-31813 CVE-2022-36760 CVE-2022-37436 CVE-2023-0567 CVE-2023-0662 CVE-2023-25690 CVE-2023-27522 CVE-2023-31122 CVE-2023-3247 CVE-2023-3823 CVE-2023-3824 CVE-2023-38709 CVE-2023-43622 CVE-2023-45802 CVE-2024-11233 CVE-2024-11234 CVE-2024-11235 CVE-2024-11236 CVE-2024-1874 CVE-2024-2408 CVE-2024-24795 CVE-2024-27316 CVE-2024-2756 CVE-2024-2757 CVE-2024-3096 CVE-2024-36387 CVE-2024-38472 CVE-2024-38473 CVE-2024-38474 CVE-2024-38475 CVE-2024-38476 CVE-2024-38477 CVE-2024-39573 CVE-2024-39884 CVE-2024-40725 CVE-2024-40898 CVE-2024-42516 CVE-2024-43204 CVE-2024-43394 CVE-2024-4577 CVE-2024-47252 CVE-2024-5458 CVE-2024-5585 CVE-2024-8925 CVE-2024-8926 CVE-2024-8927 CVE-2024-8929 CVE-2024-8932 CVE-2024-9026 CVE-2025-1217 CVE-2025-1218 CVE-2025-1219 CVE-2025-1220 CVE-2025-14177 CVE-2025-14178 CVE-2025-14179 CVE-2025-14180 CVE-2025-14181 CVE-2025-1734 CVE-2025-1735 CVE-2025-1736 CVE-2025-1861 CVE-2025-23048 CVE-2025-49630 CVE-2025-49812 CVE-2025-53020 CVE-2025-54090 CVE-2025-55753 CVE-2025-58098 CVE-2025-59775 CVE-2025-6491 CVE-2025-65082 CVE-2025-66200 CVE-2026-109618 CVE-2026-109619 CVE-2026-12184 CVE-2026-14355 CVE-2026-17543 CVE-2026-17544 CVE-2026-17545 CVE-2026-23918 CVE-2026-24072 CVE-2026-28780 CVE-2026-29167 CVE-2026-29168 CVE-2026-29169 CVE-2026-29170 CVE-2026-33006 CVE-2026-33007 CVE-2026-33523 CVE-2026-33857 CVE-2026-34032 CVE-2026-34059 CVE-2026-34355 CVE-2026-34356 CVE-2026-42356 CVE-2026-42528 CVE-2026-42535 CVE-2026-42536 CVE-2026-43951 CVE-2026-44119 CVE-2026-44185 CVE-2026-44186 CVE-2026-44631 CVE-2026-46729 CVE-2026-47360 CVE-2026-48005 CVE-2026-48913 CVE-2026-49975 CVE-2026-56153 CVE-2026-56154 CVE-2026-56449 CVE-2026-57941 CVE-2026-58415 CVE-2026-59685 CVE-2026-59797 CVE-2026-6103 CVE-2026-6104 CVE-2026-63045 CVE-2026-63292 CVE-2026-63686 CVE-2026-63718 CVE-2026-6722 CVE-2026-6735 CVE-2026-7258 CVE-2026-7259 CVE-2026-7260 CVE-2026-7261 CVE-2026-7262 CVE-2026-7263 CVE-2026-73636 CVE-2026-73637 CVE-2026-7568 CVE-2026-79768 CVE-2026-91765 CVE-2026-91766 CVE-2026-91767 CVE-2026-91768 CVE-2026-91769 CVE-2026-92842 CVE-2026-93546 CVE-2026-93682 CWE-1395 OWASP_2017_A09 OWASP_2021_A06 OWASP_2025_A03 POLICY_API POLICY_PENTEST POLICY_QA_CICD POLICY_QA_FULL POLICY_QA_STD WSTG-V42-INFO-08
More Info	Scan Rule Help

Summary

The server disclosed the version of a server side technology it is running via an HTTP response header, and that version is affected by known vulnerabilities. The version, header and vulnerabilities, listed by severity, are given in the other info. See the references for the details of each. Note that some distributions backport security fixes without changing the version number, so check whether the fixes have actually been applied before reporting these as confirmed.

Solution

Upgrade PHP to a supported version which includes fixes for the listed vulnerabilities. Also configure the server not to disclose the PHP version, e.g. by setting "expose_php = Off" in php.ini and suppressing version details in the "Server" header.

Other Info

The server disclosed that it is running PHP version 8.1.2 via the "X-Powered-By" HTTP response header. 1 known vulnerabilities: 0 critical, 1 high, 0 medium, 0 low. High: CVE-2024-4577

References

Code

org/zaproxy/zap/extension/pscanrules/ServerSideVersionScanRule.java