存在與 RFC 1867 型檔案上傳有關的 PHP3 及 PHP4 指令碼問題。PHP 會將上傳的檔案儲存在伺服器上的暫時目錄中，該目錄使用參照為變數 $FOO 的暫時名稱，其中，提交的表單中 'FOO' 為檔案輸入標籤的名稱。
許多 PHP 指令碼未確認檔案實際上位於暫時目錄中，便處理 $FOO。因此，遠端攻擊者可能以任意檔案名稱提交標準表單輸入標籤，將其做為 $FOO 的值，進而造成 PHP 指令碼處理任意檔案。多種指令碼中存在此弱點，而不一定存在於 PHP 本身，因為指令碼會判斷要對上傳的檔案執行何種動作。新版的 PHP3 和 PHP4 可更容易針對此特定弱點保護指令碼。
其中包含一個新函式，可用來輕易判斷特定檔案路徑是否為暫時的已上傳檔案：

/* 表示檔案是否為已上傳檔案的文字 */ is_uploaded_file($path);

PHP3 和 PHP4 並無安全性弱點，提供此升級是基於便利性理由，因為其中包含上述檔案測試方法。

偵測

Mandrake Linux 安全性公告：mod_php3 (MDKSA-2000:048)

medium Nessus Plugin ID 61839

找不到變更記錄