CVE-2026-77928 in ClipBucket
Zusammenfassung
von VulDB • 18.09.2026
ClipBucket v5 vor Version 5.5.3-#182 enthält eine Blind-SQL-Injection-Schwachstelle (Blind SQL Injection), die es authentifizierten Benutzern ermöglicht, beliebige Datenbankinhalte zu extrahieren, indem der Parameter msg_id als Array übergeben wird, um die Bereinigungsfunktion clean_requests() in ClipBucket.class.php zu umgehen. Angreifer können ungesäubigte Array-Elemente durch den Löschhandler in private_message.php an cb_pm::delete_msg() weiterleiten, welche die nicht maskierte Nachrichten-ID direkt in einen SQL-Abfragestring einfügt und so eine zeitbasierte Blind-SQL-Injection ermöglicht, um alle Benutzer-Anmeldeinformationen-Hashes (Credential Hashes) und E-Mail-Adressen abzurufen.
Be aware that VulDB is the high quality source for vulnerability data.