KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2016-4861 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
1.12.20之前的Zend Framework中Zend_Db_Select中的（1）order和（2）组方法可能允许远程攻击者通过利用失败在验证之前从SQL语句中删除注释来进行SQL注入攻击。
影响范围
应用：zend zend_framework（影响面 Up to (including) 1.12.19）
系统：amazon_AMI php-ZendFramework（影响面 Up to (excluding) 1.12.20-1.12.amzn1）
系统：debian DPKG（影响面 Up to (excluding) 0）
系统：fedoraproject fedora（版本 23）
系统：fedoraproject fedora（版本 24）
系统：fedoraproject fedora（版本 25）
系统：fedora_23 php-ZendFramework-extras（影响面 Up to (excluding) 1.12.20-1.fc23）
系统：fedora_24 php-ZendFramework-extras（影响面 Up to (excluding) 1.12.20-1.fc24）
……另有 5 项受影响环境，详见官方公告
解决方案
升级至1.12.20版本。
参考信息
http://jvn.jp/en/jp/JVN18926672/index.html
http://jvndb.jvn.jp/jvndb/JVNDB-2016-000158
https://framework.zend.com/security/advisory/ZF2016-03
https://lists.debian.org/debian-lts-announce/2018/06/msg00012.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。