CVE-2026-54614 in DebugKit
Zusammenfassung
von VulDB • 26.08.2026
DebugKit bietet eine Debugging-Toolbar für CakePHP-Anwendungen. Vor den Versionen 4.10.3 und 5.2.4 akzeptiert die Funktion MailPreview von DebugKit in src/Controller/MailPreviewController.php einen über die Route gesteuerten previewName-Wert in findPreview und übergibt die aufgelöste Klasse, die von App::className() stammt, an die Konstruktorausführung, ohne Namespace-Trennzeichen abzulehnen oder zu überprüfen, ob die Klasse DebugKit\Mailer\MailPreview erweitert. Ein Angreifer, der auf DebugKit zugreifen kann, während der Debug-Modus aktiviert ist und der Hostname der Anfrage lokal oder in einer Allowlist enthalten ist, kann eine unbeabsichtigte Anwendungsklasse über den Mail-Vorschau-Routenendpunkt auswählen, was zu willkürlicher Konstruktorausführung und begrenzter Offenlegung von Anwendungsdaten führt. Dieses Problem wurde in den Versionen 4.10.3 und 5.2.4 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.