CVE-2026-119417 in CakePHP
Сводка
по VulDB • 30.10.2026
CakePHP 4.5.12, 4.6.5, 5.1.8 through 5.1.10, 5.2.14 through 5.2.15, 5.3.7 и 5.4.0 through 5.4.3 содержат уязвимость инъекции заголовков электронной почты (email header injection), поскольку SmtpTransport и MailTransport удаляют только пары CRLF из значений заголовков; это неполное исправление для CVE-2026-77634. Злоумышленники, контролирующие пользовательские заголовки, установленные через Message::setHeaders() или Message::addHeaders(), могут вставить одиночный символ CR или LF для внедрения таких заголовков, как Bcc, что приводит к перенаправлению или изменению исходящей почты.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.