TufayelLUS TikTok-Video-Downloader-PHP: неверная проверка TLS-сертификата (CVE-2026-112106)
В PHP-скрипте TikTok-Video-Downloader-PHP от TufayelLUS обнаружена уязвимость неправильной проверки сертификата в обработчике TLS. Проблема позволяет удалённому атакующему вмешаться в TLS-соединение, но требует высокой сложности эксплуатации. Уровень опасности — средний (CVSS 6.3).
Подробности
Уязвимости подвержены версии TikTok-Video-Downloader-PHP вплоть до коммита c4230497bb23dd9c1f81456fe8a982d951feac0d включительно. Проблема затрагивает неопределённую функциональность файла index.php, входящего в состав компонента TLS Handler. Суть уязвимости — неправильная проверка сертификата (improper certificate validation), из-за чего приложение может принимать недействительные или поддельные сертификаты при установлении защищённого соединения. Атака возможна удалённо, однако требует высокого уровня сложности и, как отмечается, трудноосуществима на практике. Именно эти обстоятельства снижают итоговую оценку CVSS до 6.3, несмотря на потенциально серьёзные последствия перехвата TLS-трафика. Проект распространяется по модели rolling releases (непрерывные поставки), поэтому конкретные номера уязвимых и исправленных версий не указаны. Исправление внесено коммитом 64c0155abb88e714198241d41b918cefc0d5a42a.Что делать
Разработчикам и администраторам, использующим TikTok-Video-Downloader-PHP, рекомендуется как можно скорее применить патч 64c0155abb88e714198241d41b918cefc0d5a42a — например, обновив код до актуального состояния репозитория. Поскольку продукт поставляется по модели rolling releases, отслеживайте свежие коммиты и не откладывайте обновление. Дополнительно стоит проверить конфигурацию TLS в своей среде: убедиться, что проверка цепочки сертификатов и имени хоста включена, а также ограничить доверие к самоподписанным и недействительным сертификатам на уровне окружения. Если обновление временно невозможно, рассмотрите сетевые митигации — например, контроль исходящего трафика и использование доверенных прокси с собственной строгой проверкой TLS. Итог: CVE-2026-112106 — умеренно опасная уязвимость с трудной эксплуатацией, но исправление уже доступно в виде патча. Своевременное обновление закрывает проблему и снижает риск вмешательства в защищённые соединения.Источник: CVE Project (cvelistV5)