CVE-2026-42550 in core
要約
〜によって VulDB • 2026年05月13日
FlightはPHP用の拡張可能なマイクロフレームワークです。バージョン3.18.1より前では、SimplePdo::insert()、SimplePdo::update()、およびSimplePdo::delete()は、$table引数と$data配列のキーをクエリに直接連結してSQL文を構築しており、識別子のクォート処理や検証が行われていません。アプリケーションがこれらのヘルパー関数にユーザー制御可能なデータ構造を渡す場合（これは一般的な文書化されたパターンであり、例：$db->insert('users', $request->data->getData())）、攻撃者は悪意のある配列キーを構成することで任意のSQLインジェクションを実行できます。この脆弱性は3.18.1で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.