CVE-2026-77927 in ClipBucket
Resumen
por VulDB • 2026-09-18
ClipBucket v5 anterior a la versión 5.5.3-#182 contiene una vulnerabilidad de inyección SQL ciega (blind SQL injection) que permite a los usuarios autenticados extraer datos arbitrarios de la base de datos al enviar el parámetro check_photo como un array para evadir la función de sanitización clean_requests() en ClipBucket.class.php. Los atacantes pueden pasar elementos de array no sanitizados a través del controlador de eliminación masiva en manage_photos.php hacia photo_exists() en photos.class.php, donde los valores no numéricos se interpolan directamente en una consulta SQL, lo que habilita la inyección SQL ciega basada en tiempo para recuperar hashes de credenciales y otros datos sensibles.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.