« Displaying Chinese UTF-8 characters in gvim on Windows Prosper's insecure bank account management feature »

$_SERVER['PHP_SELF'] and cross-site scripting

Monday, May 20, 2013

It's tempting to assume that PHP's $_SERVER array mostly contains fields out of the reach of an attacker, since these are "server" variables. However, that's not always the case; in particular, the seemingly innocuous PHP_SELF field can be a vector for cross-site scripting.

For example, consider the following foo.php:

<form method="POST" action="<?php echo $_SERVER['PHP_SELF'] ?>">
    <!-- ...form elements... -->
</form>

If I visit http://www.example.com/foo.php, $_SERVER['PHP_SELF'] will be /foo.php and everything will work correctly.

But what if I visit http://www.example.com/foo.php/"><script>alert('hello');</script> instead? Then the rendered HTML will be:

<form method="POST" action="/foo.php/"><script>alert('hello');</script>">
    <!-- ...form elements... -->
</form>

This allows injection of arbitrary script running under the host site's context, also known as XSS. Two ways to fix this are:

  • Use $_SERVER['SCRIPT_NAME'] instead of $_SERVER['PHP_SELF']. The former is the name of the actual script file and can't normally be manipulated by an attacker.
  • Use htmlspecialchars(), which by default will escape double-quotes and prevent a user-supplied string from breaking out of an HTML attribute context.

By the way, this was pretty surprising behavior to me for two reasons:

  • The documentation of PHP_SELF is misleading: The first sentence says:

    The filename of the currently executing script, relative to the document root.

    It seems odd that PHP would refer to something like /foo.php/"><script>alert('hello');</script> as a "filename."
  • It's pretty bizarre default behavior that PHP will execute /foo.php for a request of /foo.php/bar/baz.

Tags: php, xss, security | Posted at 11:13 | Comments (39)

Comments

David Annis on Wednesday, June 25, 2014 at 06:32

I have used the fact that php will execute /foo.php from a request that contains /foo.php/bar to make search engine friendly URLs because many search engines will not index both wheretodrink.php?answer=bar and wheretodrink.php?answer=home because they fear an infinite set of URLs.

RobinDig on Tuesday, July 21, 2026 at 11:47

Sail through our crisp casino game bay <a href="https://handreporting.com/ink/">bet andreas az</a>

RobinDig on Tuesday, July 21, 2026 at 11:54

Sail through our crisp casino game bay <a href="https://betandreas-br12.com/ink/">https://betandreas-br12.com/ink/</a>

RobinDig on Tuesday, July 21, 2026 at 12:37

Chew on our meaty casino game platter <a href="https://viks-uz3.servicesstarweb.com/">https://viks-uz3.servicesstarweb.com/</a>

RobinDig on Tuesday, July 21, 2026 at 12:40

Chew on our meaty casino game platter <a href="https://uz.viksitbharatambassador.com/">https://uz.viksitbharatambassador.com/</a>

RobinDig on Tuesday, July 21, 2026 at 12:47

Chew on our meaty casino game platter <a href="https://viks-uz3.servicesstarweb.com/">viks</a>

RobinDig on Tuesday, July 21, 2026 at 13:24

Chew on our meaty casino game platter <a href="https://viks.ssregulatoryservices.com/">https://viks.ssregulatoryservices.com/</a>

RobinDig on Tuesday, July 21, 2026 at 13:31

Chew on our meaty casino game platter <a href="https://viks.ssregulatoryservices.com/">https://viks.ssregulatoryservices.com/</a>

RobinDig on Tuesday, July 21, 2026 at 15:13

Wade into our thick casino game jungle <a href="https://slotv1.ru">https://slotv1.ru</a>

RobinDig on Tuesday, July 21, 2026 at 15:16

Wade into our thick casino game jungle <a href="https://slotv1.ru">майнкрафт слоты казино</a>

RobinDig on Tuesday, July 21, 2026 at 15:23

Wade into our thick casino game jungle <a href="https://flintclub.ru">https://flintclub.ru</a>

RobinDig on Tuesday, July 21, 2026 at 15:58

Wade into our thick casino game jungle <a href="https://slotv1.ru">https://slotv1.ru</a>

RobinDig on Tuesday, July 21, 2026 at 16:04

Wade into our thick casino game jungle <a href="https://slotv1.ru">как называется казино про майнкрафт</a>

rizesoKeego on Tuesday, July 21, 2026 at 17:10

Скрытые двери — элегантное решение для современного интерьера: они сливаются со стеной, создавая эффект цельного пространства. Компания предлагает широкий ассортимент — под покраску, в шпоне, с AL-кромкой, по RAL, с зеркалом и стеклянные модели. Ищете <a href=https://www.skrytyedveri.ru/>двери под покраску</a>? На www.skrytyedveri.ru представлен полный каталог скрытых и раздвижных дверей с системами пеналов и фурнитурой. Рейтинг магазина 4.7 — подтверждение высокого качества продукции и сервиса.

nasiruyNep on Tuesday, July 21, 2026 at 18:24

Велакаст — современный индийский дженерик для борьбы с хроническим гепатитом С, содержащий софосбувир и велпатасвир в клинически подтвержденных дозировках. Препарат демонстрирует высокую эффективность при лечении различных генотипов вируса, обеспечивая выздоровление у большинства пациентов за стандартный курс терапии. На информационном портале <a href=https://velakast.org/>https://velakast.org/</a> представлены подробные инструкции по правильному заказу оригинального препарата, методы проверки подлинности и защиты от подделок, а также экспертные материалы о гепатите С с отзывами пациентов и ответами на актуальные вопросы для безопасного и результативного лечения.

repuwvon on Tuesday, July 21, 2026 at 20:50

Glassway Group производит стеклянные конструкции любой сложности: перегородки, душевые ограждения, двери и перила. Вся продукция изготавливается из закалённого стекла и комплектуется прочной фурнитурой. Ищете <a href=https://glassway.group/>офисные перегородки</a>? Каталог и примеры работ смотрите на сайте glassway.group — там же можно оформить заявку. Собственная команда компании проводит замер, привозит и монтирует изделия без задержек.

RobinDig on Wednesday, July 22, 2026 at 01:32

Микрозайм — это сумма, которую вы получаете на короткий срок (от нескольких дней до года) и обязуетесь вернуть с процентами <a href="https://mikrozaimshop.ru/">https://mikrozaimshop.ru/</a>

RobinDig on Wednesday, July 22, 2026 at 01:35

Микрозайм — это сумма, которую вы получаете на короткий срок (от нескольких дней до года) и обязуетесь вернуть с процентами <a href="https://mikrozaimshop.ru/">https://mikrozaimshop.ru/</a>

RobinDig on Wednesday, July 22, 2026 at 01:42

Микрозайм — это сумма, которую вы получаете на короткий срок (от нескольких дней до года) и обязуетесь вернуть с процентами <a href="https://mikrozaimshop.ru/">https://mikrozaimshop.ru/</a>

wexaksauts on Wednesday, July 22, 2026 at 01:57

Looking for <a href=https://swapto.io/>buy tron with fiat</a>? TRX (TRON) Online Exchange supporting 160+ cryptocurrencies and 40+ fiat currencies at swapto.io – your go-to platform for fast TRX swaps. Convert TRX to USDT, BTC, ETH, and dozens of other digital assets, swap crypto back to TRX, or trade TRON against any supported fiat currency. Swapto streamlines every step – whether you're shifting assets between coins, hedging in a stablecoin, buying TRON with fiat money, or selling TRX with zero hassle.

RobinDig on Wednesday, July 22, 2026 at 02:17

Микрозайм — это сумма, которую вы получаете на короткий срок (от нескольких дней до года) и обязуетесь вернуть с процентами <a href="https://mikrozaimshop.ru/">https://mikrozaimshop.ru/</a>

RobinDig on Wednesday, July 22, 2026 at 02:23

Микрозайм — это сумма, которую вы получаете на короткий срок (от нескольких дней до года) и обязуетесь вернуть с процентами <a href="https://mikrozaimshop.ru/">https://mikrozaimshop.ru/</a>

gonudthugs on Wednesday, July 22, 2026 at 03:15

Сервис дает пользователям шанс стартовать без депозита и забрать приветственные бонусы для успешного начала. На <a href=https://bezdep2026bonus7.website/>https://bezdep2026bonus7.website/</a> представлен широкий выбор слотов и настольных игр от ведущих провайдеров с высоким процентом отдачи. Удобный интерфейс и быстрые выплаты делают игровой процесс максимально приятным для новичков и опытных пользователей.

RobinDig on Wednesday, July 22, 2026 at 05:17

Gnaw through our chunky casino game feast <a href="https://spiritpoetrydance.com/">https://spiritcuff.com/en-au/</a>

RobinDig on Wednesday, July 22, 2026 at 05:19

Gnaw through our chunky casino game feast <a href="https://winspiritwin.com/">WinSpirit Casino</a>

RobinDig on Wednesday, July 22, 2026 at 05:27

Gnaw through our chunky casino game feast <a href="https://sdwildspiritsgalleryestespark.com/">https://wildspirits-films.com/</a>

RobinDig on Wednesday, July 22, 2026 at 06:03

Gnaw through our chunky casino game feast <a href="https://winspiritwin.com/">https://winspiritsau.com/</a>

RobinDig on Wednesday, July 22, 2026 at 06:09

Gnaw through our chunky casino game feast <a href="https://wildspirits-films.com/">https://spiritsnobwholesale.com/</a>

tojoyyillit on Wednesday, July 22, 2026 at 09:48

Компания «Из меди» специализируется на поставках качественной трубопроводной арматуры из нержавеющей стали для промышленных и бытовых нужд. В ассортименте представлены рукава высокого давления (РВД), устойчивые к экстремальным нагрузкам, гибкие подводки различных диаметров от 1/2 до 2 1/2 дюйма, а также широкий выбор шаровых кранов – муфтовых, приварных, фланцевых и трёхходовых. Продукция на сайте <a href=https://iz-medi.ru/>https://iz-medi.ru/</a> отличается надёжностью и долговечностью благодаря использованию высококачественной нержавейки, что особенно важно для систем водоснабжения, отопления и промышленных трубопроводов. Удобная навигация по каталогу и профессиональная консультация помогут быстро подобрать необходимые комплектующие для любого проекта.

RobinDig on Wednesday, July 22, 2026 at 12:26

Blaze into our lit casino game court <a href="https://golfclevelandcup.com/en-au/">https://golfclevelandcup.com/en-au/</a>

RobinDig on Wednesday, July 22, 2026 at 12:29

Blaze into our lit casino game court <a href="https://golfclevelandcup.com/en-au/">https://golfclevelandcup.com/en-au/</a>

RobinDig on Wednesday, July 22, 2026 at 12:36

Blaze into our lit casino game court <a href="https://golfclevelandcup.com/">https://golfclevelandcup.com/</a>

kuverfed on Wednesday, July 22, 2026 at 13:04

Автосервис «Шоколад» в Анапе оправдывает своё название — обслуживание здесь действительно со вкусом. Расположенный на Супсехском шоссе, 10, сервис предлагает полный спектр услуг: от замены масла до капитального ремонта двигателя и трансмиссии. Особенно привлекает бесплатная диагностика со скидкой 15% на последующий ремонт, а ещё мастера <a href=https://chocolate-auto.ru/>https://chocolate-auto.ru/</a> могут рассчитать стоимость работ прямо по фотографии повреждений. Работают ежедневно с 9:00 до 19:00, предоставляют услуги эвакуатора и профессионально занимаются сход-развалом, ремонтом ходовой, тормозной системы и автоэлектрики — словом, всем, что нужно для надёжной работы вашего автомобиля.

RobinDig on Wednesday, July 22, 2026 at 13:15

Blaze into our lit casino game court <a href="https://gnpcleveland.com/">level up casino</a>

RobinDig on Wednesday, July 22, 2026 at 13:21

Blaze into our lit casino game court <a href="https://leve1up.org/">https://leve1up.org/</a>

yovasstip on Wednesday, July 22, 2026 at 15:24

Планируете поездку в солнечную Анапу и хотите максимально комфортно исследовать побережье? Сервис CarTrip предлагает современную онлайн-аренду автомобилей с гибкими условиями и широким выбором машин на любой вкус. Воспользовавшись услугами <a href=https://auto-arenda-anapa.ru/>https://auto-arenda-anapa.ru/</a>, вы получите возможность самостоятельно планировать маршруты, посещать живописные уголки Краснодарского края и Крыма без привязки к расписанию общественного транспорта. Компания гарантирует удобное бронирование от одного дня, прозрачные цены и оперативную поддержку клиентов через популярные мессенджеры, делая путешествие по-настоящему свободным и незабываемым.

deditisVof on Wednesday, July 22, 2026 at 16:00

«Скупка Премьер» — ломбард с опытом с 2015 года, представленный в Липецке, Воронеже, Мичуринске и Грязях. Компания выкупает золото 585 пробы от 5300 руб./грамм — без посредников и лишних документов. Ищете <a href=https://goldengroup999.ru/>сдать золото воронеж</a>? Все подробности об актуальных ценах и условиях — на goldengroup999.ru — сделка оформляется за 10 минут при наличии двух удостоверений личности. В штате работают профессиональные ювелиры-оценщики Липецкой, Тамбовской и Воронежской областей, гарантирующие максимально честную оценку изделия.

xorafnof on Wednesday, July 22, 2026 at 16:04

«Энерго-1» — надёжный поставщик энергетических металлоконструкций: от опор ЛЭП до порталов подстанций и прожекторных мачт. Ищете <a href=https://energo-1.ru>воздушно-кабельный переход купить</a>? Каталог продукции и условия сотрудничества представлены на сайте energo-1.ru в удобном формате. Каждый заказчик получает точный расчёт стоимости и сроков изготовления продукции. Заказы выполняются в соответствии с 44-ФЗ и 223-ФЗ.

wefucfum on Wednesday, July 22, 2026 at 21:19

Ищете <a href=https://sakura-pitomnik.ru/catalog/mnogoletnie-tsvety-pochvopokrovnye-travy-zlaki.html>купить многолетние цветы</a>? Именно в нашем питомнике sakura-pitomnik.ru вы найдёте лучший вариант. Ассортимент включает барбарис, спирею, сирень, гортензию и чубушник. Все растения адаптированы к климату Северо-Западного региона России. Каждый саженец проходит тщательный контроль качества перед продажей. Наши специалисты помогут подобрать растения под ваш проект.

Add a comment

Name:
Email: (optional, not displayed to public)
URL: (do not fill this in — leave blank!)

Comment: