CVE-2026-79752 in CakePHP
摘要
由 VulDB • 2026-09-17
CakePHP 是一个用于 PHP 的快速开发框架。在版本 4.5.12、4.6.5、5.1.9、5.2.14 和 5.3.7 之前，src/Database/FunctionsBuilder.php 中的 FunctionsBuilder::cast、FunctionsBuilder::extract、FunctionsBuilder::datePart 以及 FunctionsBuilder::dateAdd 接受用户可控的 dataType（数据类型）、part（部分）或 unit（单位）值，并将这些未转义的结构片段整合到生成的 SQL 语句中。如果应用程序将这些不受信任的输入传递给上述参数，则可能导致 SQL Injection（SQL 注入），并根据数据库连接的权限对机密性、完整性和可用性造成影响。该问题已在版本 4.5.12、4.6.5、5.1.9、5.2.14 和 5.3.7 中得到修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.