CVE-2026-54614 in DebugKit
요약
\~에 의해 VulDB • 2026. 08. 26.
DebugKit는 CakePHP 애플리케이션을 위한 디버깅 툴바를 제공합니다. 버전 4.10.3 및 5.2.4 이전의 DebugKit MailPreview 기능은 src/Controller/MailPreviewController.php에서 findPreview 메서드를 통해 라우트 제어 previewName 값을 받아들이며, App::className()에서 해결된 클래스를 네임스페이스 구분자를 거부하거나 해당 클래스가 DebugKit\Mailer\MailPreview를 상속하는지 검증하지 않은 채로 생성자 실행에 전달합니다. 디버그 모드가 활성화되어 있고 요청 호스트명이 로컬이거나 허용 목록(allowlisted)에 있는 경우 DebugKit에 접근할 수 있는 공격자는 메일 미리보기 라우트를 통해 의도치 않은 애플리케이션 클래스를 선택하여 임의의 생성자 실행과 제한된 범위의 애플리케이션 정보 유출을 초래할 수 있습니다. 이 문제는 버전 4.10.3 및 5.2.4에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.