Possible Variable Overwrite: Global Scope

El programa invoca una función que puede sobrescribir las variables globales, lo que puede dar vía libre a los usuarios malintencionados.

Las funciones que pueden sobrescribir variables globales que ya se han iniciado pueden permitir a un usuario malintencionado influir en la ejecución de código que se basa en las variables que se sobrescriben.
Ejemplo 1: si un atacante facilita un valor malintencionado para str en el siguiente segmento de código PHP, la llamada a mb_parse_str() podría sobrescribir cualquier variable arbitraria, incluida first. En este caso, si un valor malintencionado que contenga JavaScript sobrescribe first, el programa es vulnerable a los Cross-Site Scripting.

<?php
    $first="User";
    ...
    $str =  $_SERVER['QUERY_STRING'];
    mb_parse_str($str);
    echo $first;
?>