CVE-2026-77928 in ClipBucket
Sumário
de VulDB • 18/09/2026
O ClipBucket v5 anterior à versão 5.5.3-#182 contém uma vulnerabilidade de injeção cega de SQL (blind SQL injection) que permite a usuários autenticados extrair conteúdos arbitrários do banco de dados ao submeter o parâmetro msg_id como um array para contornar a função de sanitização clean_requests() em ClipBucket.class.php. Os atacantes podem passar elementos de arrays não sanitizados através do manipulador de exclusão em private_message.php para cb_pm::delete_msg(), que interpola diretamente o ID da mensagem sem escape em uma string de consulta SQL, permitindo injeção cega de SQL baseada em tempo (time-based blind SQL injection) para recuperar todos os hashes de credenciais dos usuários e endereços de email.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.