Cuando está activada, la opción register_globals hace que PHP registre todas las variables EGPCS (entorno, GET, POST, cookie y servidor) de forma global, por lo que se puede acceder a ellas en cualquier ámbito de cualquier programa de PHP. Esta opción anima a los programadores a escribir programas más o menos desconocedores del origen de los valores en los que confían, lo cual puede provocar un comportamiento inesperado en entornos bienintencionados y deja la puerta abierta a los atacantes en entornos malintencionados. Al reconocerse las peligrosas implicaciones de seguridad de register_globals, esta opción estaba desactivada de forma predeterminada en PHP 4.2.0 y se eliminó en PHP 6.

Ejemplo 1: el siguiente código es vulnerable a los scripts entre sitios. El programador asume que el valor de $username se origina desde la sesión controlada por el servidor, pero un atacante puede suministrar un valor malintencionado para $username como un parámetro de solicitud. Con register_globals activado, este código incluirá un valor malintencionado enviado por un atacante en el contenido HTML dinámico que genere.

<?php
if (isset($username)) {
    echo "Hello <b>$username</b>";
} else {
    echo "Hello <b>Guest</b><br />";
    echo "Would you like to login?";

}
?>

Las funciones que pueden sobrescribir las variables que ya se han inicializado pueden permitir a un usuario malintencionado influir en la ejecución de código que se basa en las variables que se sobrescriben.
puede sobrescribir variables.

Ejemplo 1: si un atacante facilita un valor malintencionado para varName en el siguiente segmento de código ColdFusion, la llamada a SetVariable() podría sobrescribir cualquier variable arbitraria, incluida #first#. En este caso, si un valor malintencionado que contenga JavaScript sobrescribe #first#, el programa es vulnerable a los Cross-Site Scripting.

<cfset first = "User">
<cfscript>
SetVariable(url.varName, url.varValue);
</cfscript>
<cfoutput>
#first#
</cfoutput>

Las funciones que pueden sobrescribir las variables que ya se han iniciado en el ámbito actual pueden permitir a un usuario malintencionado influir en la ejecución de código que se basa en las variables que se sobrescriben.
Ejemplo 1: si un atacante facilita un valor malintencionado para str en el siguiente segmento de código PHP, la llamada a parse_str() podría sobrescribir cualquier variable arbitraria, incluida first. En este caso, si un valor malintencionado que contenga JavaScript sobrescribe first, el programa es vulnerable a los Cross-Site Scripting.

<?php
    $first="User";
    ...
    $str =  $_SERVER['QUERY_STRING'];
    parse_str($str);
    echo $first;
?>

Las funciones que pueden sobrescribir variables globales que ya se han iniciado pueden permitir a un usuario malintencionado influir en la ejecución de código que se basa en las variables que se sobrescriben.
Ejemplo 1: si un atacante facilita un valor malintencionado para str en el siguiente segmento de código PHP, la llamada a mb_parse_str() podría sobrescribir cualquier variable arbitraria, incluida first. En este caso, si un valor malintencionado que contenga JavaScript sobrescribe first, el programa es vulnerable a los Cross-Site Scripting.

<?php
    $first="User";
    ...
    $str =  $_SERVER['QUERY_STRING'];
    mb_parse_str($str);
    echo $first;
?>