register_globals 옵션을 활성화하면 PHP가 모든 EGPCS(환경, GET, POST, 쿠키 및 서버) 변수를 전역으로 등록할 수 있습니다. 이는 모든 PHP 프로그램의 모든 범위에 접근할 수 있습니다. 이 옵션을 사용하면 프로그래머가 주로 사용하는 최초 값을 조금은 알아보기 힘든 프로그램을 작성하도록 하여 시작 환경에서 예상치 못한 동작을 일으키거나 악의적인 환경에 있는 공격자에게 문을 열어주게 됩니다. register_globals가 위험한 보안 해석으로 인정되어 이 옵션은 PHP 4.2.0에서 기본적으로 비활성화되었으며 PHP 6에서는 더 이상 사용되지 않거나 제거되었습니다.

예제 1: 다음 코드는 cross-site scripting에 취약합니다. 프로그래머는 $username 값이 서버에서 제어하는 세션에서 오지만 공격자가 요청 매개 변수로 $username의 악의적인 값을 제공할 수 있다고 가정합니다. register_globals가 활성화되면 이 코드에 공격자가 전송한 악의적인 값이 생성된 동적 HTML 콘텐트로 포함됩니다.

<?php
if (isset($username)) {
    echo "Hello <b>$username</b>";
} else {
    echo "Hello <b>Guest</b><br />";
    echo "Would you like to login?";

}
?>

이미 초기화된 변수를 덮어쓸 수 있는 함수로 인해, 공격자는 덮어쓴 변수에 의존하는 코드의 실행에 영향을 미칠 수 있습니다.
변수를 덮어쓸 수 있습니다.

예제 1: 공격자가 ColdFusion 코드의 다음 세그먼트에서 varName에 대한 악성 값을 공급하면 SetVariable()에 대한 호출이 #first# 등 모든 임의 변수를 덮어쓸 수 있습니다. 이 경우, JavaScript를 포함하는 악성 값이 #first#를 덮어쓰면 프로그램이 Cross-Site Scripting에 취약해집니다.

<cfset first = "User">
<cfscript>
SetVariable(url.varName, url.varValue);
</cfscript>
<cfoutput>
#first#
</cfoutput>

현재 범위에서 이미 초기화된 변수를 덮어쓸 수 있는 함수로 인해, 공격자는 덮어쓴 변수에 의존하는 코드의 실행에 영향을 미칠 수 있습니다.
예제 1: 공격자가 PHP 코드의 다음 세그먼트에서 str에 대한 악성 값을 공급하면 parse_str()에 대한 호출이 first를 포함하여 현재 범위의 모든 임의 변수를 덮어쓸 수 있습니다. 이 경우, JavaScript를 포함하는 악성 값이 first를 덮어쓰면 프로그램이 Cross-Site Scripting에 취약해집니다.

<?php
    $first="User";
    ...
    $str =  $_SERVER['QUERY_STRING'];
    parse_str($str);
    echo $first;
?>

이미 초기화된 전역 변수를 덮어쓸 수 있는 함수로 인해, 공격자는 덮어쓴 변수에 의존하는 코드의 실행에 영향을 미칠 수 있습니다.
예제 1:공격자가 PHP 코드의 다음 세그먼트에서 str에 대한 악성 값을 공급하면 mb_parse_str()에 대한 호출이 first를 포함하여 모든 임의 변수를 덮어쓸 수 있습니다. 이 경우, JavaScript를 포함하는 악성 값이 first를 덮어쓰면 프로그램이 Cross-Site Scripting에 취약해집니다.

<?php
    $first="User";
    ...
    $str =  $_SERVER['QUERY_STRING'];
    mb_parse_str($str);
    echo $first;
?>