PHP 4.4.7 发布公告

PHP 开发团队很高兴宣布 PHP 4.4.7 现已正式发布。此版本继续改进 4.4 分支的安全性和稳定性，强烈建议所有用户尽快升级。

PHP 4.4.7 中的安全增强和修复

• 修复了 CVE-2007-1001，GD wbmp 使用无效图像大小（由 Ivan Fratric 修复）
• 修复了 mail() 中的 asciiz 字节截断问题（MOPB-33 由 Stefan Esser 修复）
• 修复了 mb_parse_str() 中可能被用来激活 register_globals 的错误（MOPB-26 由 Stefan Esser 修复）
• 修复了 array_user_key_compare() 中的未分配内存访问/双重释放错误（MOPB-24 由 Stefan Esser 修复）
• 修复了 session_regenerate_id() 中的双重释放错误（MOPB-22 由 Stefan Esser 修复）
• 向 zip:// 和 bzip:// 封装器添加了缺失的 open_basedir 和 safe_mode 检查。（MOPB-21 由 Stefan Esser 修复）。
• 使用 max_input_nesting_level 限制输入变量的嵌套级别，以修复（MOPB-03 由 Stefan Esser 修复）
• phpinfo() 中的 XSS 漏洞（MOPB-8 由 Stefan Esser 修复）
• 修复了 ftp_putcmd() 中的 CRLF 注入漏洞。（由 loveshell[at]Bug.Center.Team 修复）
• 修复了 import_request_variables() 中可能出现的超级全局变量覆盖问题。（由 Stefano Di Paola 和 Stefan Esser 修复）
• 修复了捆绑的 libxmlrpc 库中可能远程触发的缓冲区溢出问题。（由 Stanislav Malyshev 修复）

虽然上面列出的大多数问题都是局部的，但一些问题，例如 XML-RPC 溢出，可以远程触发，因此应被视为严重问题。如果您使用 XML-RPC 扩展，请尽快升级。

PHP 4.4.7 的其他改进包括

• 大约 10 个错误修复。

有关 PHP 4.4.7 中所有更改的完整列表，请参阅 更改日志。