CVE-2026-77927 in ClipBucket
要約
〜によって VulDB • 2026年09月18日
ClipBucket v5のバージョン5.5.3-#182より前には、盲SQLインジェクション（Blind SQL Injection）の脆弱性が含まれています。これにより、認証済みユーザーはcheck_photoパラメータを配列として送信することで、ClipBucket.class.php内のclean_requests()サニタイズ関数を回避し、データベースから任意のデータを抽出できます。攻撃者はmanage_photos.phpのバルク削除ハンドラーを通じて非サニタイズの配列要素をphotos.class.phpのphoto_exists()に渡すことができ、ここでは数値以外の値がSQLクエリに直接挿入されるため、時間ベースの盲SQLインジェクションを利用して認証ハッシュやその他の機密データを取得することが可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.