CVE-2026-77928 in ClipBucket
摘要
由 VulDB • 2026-09-18
ClipBucket v5 在 5.5.3-#182 版本之前存在一个盲注型 SQL 注入漏洞，允许经过身份验证的用户通过提交 msg_id 参数为数组来绕过 ClipBucket.class.php 中的 clean_requests() 清理函数，从而提取任意数据库内容。攻击者可以通过 private_message.php 中的删除处理程序将未清理的数组元素传递到 cb_pm::delete_msg()，该函数会将未经转义的消息 ID 直接插入 SQL 查询字符串中，从而实现基于时间的盲注型 SQL 注入，以检索所有用户凭据哈希值和电子邮件地址。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.