جزئیات آسیب‌پذیری
CVE-2026-79752
cakephp cakephp
CakePHP: Multiple methods in FunctionsBuilder vulnerable to SQL injection
CVSS 4.0
9.2بحرانی
شرح رسمی (انگلیسی)
CakePHP is a rapid development framework for PHP. Prior to 4.5.12, 4.6.5, 5.1.9, 5.2.14, and 5.3.7, FunctionsBuilder::cast, FunctionsBuilder::extract, FunctionsBuilder::datePart, and FunctionsBuilder::dateAdd in src/Database/FunctionsBuilder.php accept user-controlled dataType, part, or unit values and incorporate them into generated SQL as unescaped structural fragments. An application that passes untrusted input to these parameters can permit SQL injection with confidentiality, integrity, and availability impact according to the database connection's privileges. This issue is fixed in versions 4.5.12, 4.6.5, 5.1.9, 5.2.14, and 5.3.7.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.2بحرانی | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| cakephp | cakephp | < 4.5.12 | CVEProject cvelistV5 (CNA) |
| cakephp | cakephp | >= 4.6.0, < 4.6.5 | CVEProject cvelistV5 (CNA) |
| cakephp | cakephp | >= 5.0.0, < 5.1.9 | CVEProject cvelistV5 (CNA) |
| cakephp | cakephp | >= 5.2.0, < 5.2.14 | CVEProject cvelistV5 (CNA) |
| cakephp | cakephp | >= 5.3.0, < 5.3.7 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۱۳- https://github.com/cakephp/cakephp/pull/19528 x_refsource_MISC
- https://github.com/cakephp/cakephp/security/advisories/GHSA-vjqc-q4mp-2rvf x_refsource_CONFIRM
- https://github.com/cakephp/cakephp/pull/19520 x_refsource_MISC
- https://github.com/cakephp/cakephp/commit/3349584ca3a891afaff2dbc324d6b1c09fb880f0 x_refsource_MISC
- https://github.com/cakephp/cakephp/commit/3f4d13ea4280067f3381ecf935a8bef5b7cdcc2e x_refsource_MISC
- https://github.com/cakephp/cakephp/commit/79e1d6bc6f3a50fa01805579076a02c77370c676 x_refsource_MISC
- https://github.com/cakephp/cakephp/commit/8699d6f38e25fe46fcc24f2b698809948e71ad7d x_refsource_MISC
- https://github.com/cakephp/cakephp/commit/ab608711674ac662af7315c5cdf1e0fbe2000e45 x_refsource_MISC
- https://github.com/cakephp/cakephp/releases/tag/4.5.12 x_refsource_MISC
- https://github.com/cakephp/cakephp/releases/tag/4.6.5 x_refsource_MISC
- https://github.com/cakephp/cakephp/releases/tag/5.1.9 x_refsource_MISC
- https://github.com/cakephp/cakephp/releases/tag/5.2.14 x_refsource_MISC
- https://github.com/cakephp/cakephp/releases/tag/5.3.7 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۶/۲۶
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۲۶
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۶۲٪
احتمال بهره‌برداری در ۳۰ روز
۴۹٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-89Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')