Quando habilitada, a opção register_globals faz com que o PHP registre todas as variáveis EGPCS (Ambiente, GET, POST, Cookie e Servidor) em um nível global, em que elas podem ser acessadas em qualquer escopo de qualquer programa PHP. Essa opção incentiva os programadores a escrever programas mais ou menos inconscientes da origem dos valores dos quais eles dependem, o que pode provocar comportamentos inesperados em ambientes bem-intencionados e deixar as portas abertas para invasores em ambientes mal-intencionados. Reconhecendo as perigosas implicações de segurança de register_globals, essa opção foi desabilitada por padrão no PHP 4.2.0 e foi preterida e removida no PHP 6.

Exemplo 1: O código a seguir é vulnerável à criação de scripts entre sites. O programador supõe que o valor de $username origina-se da sessão controlada pelo servidor, mas, em vez disso, um invasor pode fornecer um valor mal-intencionado para $username como um parâmetro de solicitação. Com a opção register_globals habilitada, esse código incluirá um valor mal-intencionado enviado por um invasor no conteúdo HTML dinâmico que ele gera.

<?php
if (isset($username)) {
    echo "Hello <b>$username</b>";
} else {
    echo "Hello <b>Guest</b><br />";
    echo "Would you like to login?";

}
?>

Funções que podem sobrescrever variáveis já inicializadas podem permitir que um invasor influencie a execução do código que depende das variáveis sobrescritas.
pode substituir variáveis.

Exemplo 1: Se um invasor fornecer um valor mal-intencionado para varName no seguinte segmento de código ColdFusion, a chamada para SetVariable() poderá substituir qualquer variável arbitrária, inclusive #first#. Nesse caso, se um valor mal-intencionado que contém JavaScript sobrescrever #first#, o programa ficará vulnerável à criação de scripts entre sites.

<cfset first = "User">
<cfscript>
SetVariable(url.varName, url.varValue);
</cfscript>
<cfoutput>
#first#
</cfoutput>

As funções que podem substituir as variáveis já inicializadas no escopo atual podem permitir que um invasor influencie a execução de código que depende das variáveis substituídas.
Exemplo 1: Se um invasor fornecer um valor mal-intencionado para str no segmento a seguir de código PHP, a chamada para parse_str() poderá substituir todas as variáveis arbitrárias no escopo atual, incluindo first. Nesse caso, se um valor mal-intencionado que contém JavaScript sobrescrever first, o programa ficará vulnerável à criação de scripts entre sites.

<?php
    $first="User";
    ...
    $str =  $_SERVER['QUERY_STRING'];
    parse_str($str);
    echo $first;
?>

As funções que podem substituir as variáveis globais já inicializadas podem permitir que um invasor influencie a execução de código que depende das variáveis substituídas.
Exemplo 1: Se um invasor fornecer código mal-intencionado para str no segmento a seguir de código PHP, a chamada para mb_parse_str() poderá substituir todas as variáveis arbitrárias, incluindo first. Nesse caso, se um valor mal-intencionado que contém JavaScript sobrescrever first, o programa ficará vulnerável à criação de scripts entre sites.

<?php
    $first="User";
    ...
    $str =  $_SERVER['QUERY_STRING'];
    mb_parse_str($str);
    echo $first;
?>