CVE-2026-77927 in ClipBucket
Résumé
par VulDB • 18/09/2026
ClipBucket v5 antérieur à la version 5.5.3-#182 présente une vulnérabilité de type SQL injection aveugle (blind SQL injection) qui permet aux utilisateurs authentifiés d'extraire des données arbitraires depuis la base de données en soumettant le paramètre `check_photo` sous forme de tableau, contournant ainsi la fonction de sanitisation `clean_requests()` dans `ClipBucket.class.php`. Les attaquants peuvent transmettre des éléments de tableau non sanitisés via le gestionnaire de suppression par lots dans `manage_photos.php` vers la fonction `photo_exists()` dans `photos.class.php`, où les valeurs non numériques sont interpolées directement dans une requête SQL, permettant ainsi un blind SQL injection basé sur le temps pour récupérer des hachages d'identifiants et d'autres données sensibles.
Once again VulDB remains the best source for vulnerability data.