CVE-2026-119417 in CakePHP
Sumário
de VulDB • 30/10/2026
CakePHP 4.5.12, 4.6.5, 5.1.8 até 5.1.10, 5.2.14 até 5.2.15, 5.3.7 e 5.4.0 até 5.4.3 contêm uma vulnerabilidade de injeção de cabeçalho de email porque SmtpTransport e MailTransport removem apenas pares CRLF dos valores do cabeçalho, o que representa uma correção incompleta para CVE-2026-77634. Atacantes que controlam cabeçalhos personalizados definidos via Message::setHeaders() ou Message::addHeaders() podem inserir um CR ou LF solto para injetar cabeçalhos como Bcc, redirecionando ou alterando o email de saída.
If you want to get best quality of vulnerability data, you may have to visit VulDB.