PHP 4.4.1 發佈公告

PHP 開發團隊在此宣布立即發佈 PHP 4.4.1。

這是一個錯誤修正版本，同時也解決了一些安全性問題。此版本修復的安全性問題如下：

• 修復了 phpinfo() 中的跨網站指令碼 (XSS) 漏洞，當 phpinfo() 指令碼意外留在正式伺服器上時，可能會導致 Cookie 洩露。
• 修復了 ext/curl 和 ext/gd 中的多個安全模式/open_basedir 繞過漏洞，這些漏洞可能導致暴露通常由於安全模式或 open_basedir 限制而無法存取的檔案。
• 修復了檔案上傳處理、extract() 和 import_request_variables() 中可能發生的 $GLOBALS 覆寫問題，這可能導致在被認為安全的指令碼中出現意外的安全漏洞。（更多資訊，請參閱這裡）。
• 修正了在某些 parse_str() 呼叫期間，因 memory_limit 限制而導致請求終止的問題。在某些情況下，這可能導致 register_globals 被開啟。
• 修正了允許 basedir 中尾端斜線的問題。open_basedir 檢查會忽略它們，因此指定的 basedir 會被視為前綴，而不是完整的目錄名稱。
• 修正了在 Apache 2 上呼叫 virtual() 的問題。這允許繞過某些配置指令，例如 safe_mode 或 open_basedir。
• 已更新至最新的 pcrelib，以修復在 CAN-2005-2491 中公告的潛在整數溢位漏洞。

此版本還修正了其他 35 個缺陷，其中最重要的是修正了將函數的引用傳回結果作為另一個函數的引用值傳遞時出現的通知。(錯誤編號 #33558)

如需 PHP 4.4.1 中所有變更的完整列表，請參閱 變更記錄。