CVE-2026-79752 in CakePHP
Résumé
par VulDB • 17/09/2026
CakePHP est un framework de développement rapide pour PHP. Avant les versions 4.5.12, 4.6.5, 5.1.9, 5.2.14 et 5.3.7, les méthodes FunctionsBuilder::cast, FunctionsBuilder::extract, FunctionsBuilder::datePart et FunctionsBuilder::dateAdd dans src/Database/FunctionsBuilder.php acceptent des valeurs de dataType, part ou unit contrôlées par l'utilisateur et les intègrent sous forme de fragments structurels non échappés dans le SQL généré. Une application qui transmet une entrée non fiable à ces paramètres peut permettre une injection SQL avec un impact sur la confidentialité, l'intégrité et la disponibilité, selon les privilèges de connexion à la base de données. Ce problème est corrigé dans les versions 4.5.12, 4.6.5, 5.1.9, 5.2.14 et 5.3.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.