CVE-2026-79752
Təsvir
CakePHP, PHP üçün sürətli tərtibat freymvorkudur. 4.5.12, 4.6.5, 5.1.9, 5.2.14 və 5.3.7 versiyalarından əvvəl src/Database/FunctionsBuilder.php faylındakı FunctionsBuilder::cast, FunctionsBuilder::extract, FunctionsBuilder::datePart və FunctionsBuilder::dateAdd funksiyaları istifadəçi tərəfindən idarə olunan dataType, part və ya unit dəyərlərini qəbul edir və onları generatsiya edilmiş SQL sorğusuna escape edilməmiş struktur fragmentləri kimi daxil edir. Etibarsız giriş məlumatlarını bu parametrlərə ötürən tətbiqlərdə, verilənlər bazası bağlantısının imtiyazlarına uyğun olaraq konfidensiallığa, bütövlüyə və əlçatanlığa təsir edən SQL inyeksiyasına yol açıla bilər. Bu problem 4.5.12, 4.6.5, 5.1.9, 5.2.14 və 5.3.7 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- cakephp/database4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7 və ya daha yeni versiya
- cakephp/cakephp4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cakephp/databasePackagist | 3.0.0 ≤ v < 4.5.12, 4.6.0 ≤ v < 4.6.5, 5.0.0 ≤ v < 5.1.9, 5.2.0 ≤ v < 5.2.14, 5.3.0 ≤ v < 5.3.7 | 4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7 |
| cakephp/cakephpPackagist | v < 4.5.12, 4.6.0 ≤ v < 4.6.5, 5.0.0 ≤ v < 5.1.9, 5.2.0 ≤ v < 5.2.14, 5.3.0 ≤ v < 5.3.7 | 4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.