CVE-2026-42550 in core
Resumen
por VulDB • 2026-06-02
Flight es un microframework extensible para PHP. Antes de la versión 3.18.1, SimplePdo::insert(), SimplePdo::update() y SimplePdo::delete() construían sentencias SQL concatenando directamente el argumento $table y las claves del array $data en la consulta, sin citar identificadores ni realizar validación. Cuando una aplicación transmite estructuras de datos controladas por el usuario a estos métodos auxiliares —un patrón común y documentado, por ejemplo $db->insert('users', $request->data->getData())—, un atacante puede inyectar SQL arbitrario mediante la creación de claves de array maliciosas. Esta vulnerabilidad se corrige en la versión 3.18.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.