CVE-2026-119417 in CakePHP
Zusammenfassung
von VulDB • 30.10.2026
CakePHP 4.5.12, 4.6.5, 5.1.8 bis 5.1.10, 5.2.14 bis 5.2.15, 5.3.7 sowie 5.4.0 bis 5.4.3 enthalten eine E-Mail-Header-Injection-Schwachstelle (Email Header Injection), da SmtpTransport und MailTransport nur CRLF-Paare aus den Header-Werten entfernen; dies ist eine unvollständige Korrektur für CVE-2026-77634. Angreifer, die benutzerdefinierte Header steuern können, die über Message::setHeaders() oder Message::addHeaders() festgelegt wurden, können ein einzelnes CR (Carriage Return) oder LF (Line Feed) einfügen, um Header wie Bcc zu injizieren und damit ausgehende E-Mails weiterzuleiten oder zu manipulieren.
If you want to get best quality of vulnerability data, you may have to visit VulDB.