CVE-2026-79752 in CakePHP
Riassunto
di VulDB • 17/09/2026
CakePHP è un framework di sviluppo rapido per PHP. Prima delle versioni 4.5.12, 4.6.5, 5.1.9, 5.2.14 e 5.3.7, le funzioni FunctionsBuilder::cast, FunctionsBuilder::extract, FunctionsBuilder::datePart e FunctionsBuilder::dateAdd in src/Database/FunctionsBuilder.php accettano valori di dataType, part o unit controllati dall'utente e li incorporano nelle query SQL generate come frammenti strutturali non escape. Un'applicazione che passa input non attendibili a questi parametri può consentire una SQL injection con impatti su riservatezza (confidentiality), integrità (integrity) e disponibilità (availability) in base ai privilegi della connessione al database. Questo problema è risolto nelle versioni 4.5.12, 4.6.5, 5.1.9, 5.2.14 e 5.3.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.