CVE-2026-106512

lib/Cake/Network/CakeResponse.php faylındakı CakeResponse::download() metodu, çağırıcı tərəfindən təmin edilən fayl adını təmizləmədən birbaşa dırnaq arası sətir dəyərinə yerləşdirməklə Content-Disposition başlığını formalaşdırır. Yamaqlanmamış kodda iki fərqli inyeksiya vektoru mövcuddur. Birincisi, əgər fayl adı C0 idarəetmə simvollarını (CR və ya LF) ehtiva edirsə, PHP bütün Content-Disposition başlığının ötürülməsini rədd edir və qoşma disposisiyasını səssizcə silir. Cavab gövdəsi daha sonra öz Content-Type dəyəri ilə (məsələn, .html qoşması üçün text/html) təqdim olunur və brauzerdə tətbiqin mənşəyində daxili olaraq render edilir ki, bu da saxlanılan saytlararası skriptinq (stored XSS) şəraiti yaradır. Commit mesajında qeyd olunub ki, bu, download_attachments_on_load parametri aktiv olduqda belə mümkündür, yəni qurbanın sadəcə yükləməni tetikləyən səhifəyə baxması kifayətdir. İkincisi, fayl adındakı cüt dırnaq simvolu dırnaq arası sətir dəyərini vaxtından əvvəl sonlandıraraq əlavə Content-Disposition parametrlərinin inyeksiyasına imkan verir. Təsirə məruz qalan kod yolu atribut yükləmələri, təklif yükləmələri və restSearch eksportları daxil olmaqla CakeResponse::download() metodunun bütün çağırıcılarını əhatə edir. Xüsusi hazırlanmış fayl adı ilə qoşma yarada və ya yükləyə bilən autentifikasiya olunmuş istifadəçi (məsələn, MISP atribut adlandırması və ya təklif qoşması adlandırması vasitəsilə) zərərli fayl adını saxlaya bilər. Hər hansı digər autentifikasiya olunmuş istifadəçi təsirlənmiş səhifəyə baxdıqda, təmizlənməmiş fayl adı HTTP cavab başlığına əks olunur ki, bu da başlığın manipulyasiyasına və tətbiqin mənşəyi kontekstində ixtiyari HTML və ya JavaScript kodunun icrasına gətirib çıxarır. Təhlükəsizlik təsiri saxlanılan saytlararası skriptinq boşluğu ilə eynidir və sessiyanın ələ keçirilməsinə, məlumatların sızdırılmasına və qurban adına icazəsiz hərəkətlərin edilməsinə imkan verir.