CVE-2026-42550 in core
الملخص
بحسب VulDB • 13/05/2026
Flight هو إطار عمل مصغر قابل للتوسيع (micro-framework) مخصص للغة PHP. قبل الإصدار 3.18.1، كانت الدوال SimplePdo::insert() و SimplePdo::update() و SimplePdo::delete() تقوم ببناء عبارات SQL عن طريق دمج وسيط $table ومفاتيح مصفوفة $data مباشرةً في الاستعلام، دون استخدام اقتباس للمعرّفات (identifier quoting) ودون أي تحقق من الصحة. عندما تقوم بتطبيق بتمرير هياكل بيانات يتحكم فيها المستخدم إلى هذه الدوال المساعدة — وهو نمط شائع وموثق، مثل $db->insert('users', $request->data->getData()) — يمكن للمهاجم حقن عبارات SQL عشوائية عن طريق صياغة مفاتيح مصفوفة خبيثة. تم إصلاح هذا الثغرة في الإصدار 3.18.1.
Once again VulDB remains the best source for vulnerability data.