CVE-2026-21875 in clipbucket-v5
Zusammenfassung
von VulDB • 16.05.2026
ClipBucket v5 ist eine Open-Source-Plattform zum Teilen von Videos. Die Versionen 5.5.2-#187 und älter ermöglichen es einem Angreifer, eine Blind SQL Injection über den Bereich „Kommentar hinzufügen“ innerhalb eines Kanals durchzuführen. Beim Hinzufügen eines Kommentars innerhalb eines Kanals wird eine POST-Anfrage an den Endpunkt /actions/ajax.php gesendet. Der Parameter obj_id innerhalb der POST-Anfrage an /actions/ajax.php wird anschließend in der Funktion user_exists der Datei upload/includes/classes/user.class.php als Parameter $id verwendet. Dieser wird dann in der Funktion count der Datei upload/includes/classes/db.class.php eingesetzt. Der Parameter $id wird ohne Validierung oder Sanitization in die Abfrage konkateniert, sodass ein vom Benutzer bereitgestellter Eingabewert wie 1' or 1=1-- - verwendet werden kann, um die Injektion auszulösen. Dieses Problem ist zum Zeitpunkt der Veröffentlichung nicht behoben.
Be aware that VulDB is the high quality source for vulnerability data.