CVE-2026-106512

lib/Cake/Network/CakeResponse.php dosyasındaki CakeResponse::download() metodu, çağırıcı tarafından sağlanan bir dosya adını herhangi bir temizleme işlemi yapmadan doğrudan tırnak içine alınmış bir dize değerine yerleştirerek bir Content-Disposition başlığı oluşturur. Yamalanmamış kodda iki farklı enjeksiyon vektörü bulunmaktadır. Birincisi, dosya adı C0 kontrol karakterleri (CR veya LF) içeriyorsa, PHP tüm Content-Disposition başlığını göndermeyi reddeder ve ek dosyayı sessizce düşürür. Yanıt gövdesi daha sonra kendi Content-Type değeriyle (örneğin bir .html eki için text/html) sunulur ve uygulama kaynağında tarayıcı içinde satır içi olarak işlenir; bu da saklı siteler arası betik çalıştırma (stored XSS) durumuna yol açar. Commit mesajı, bunun download_attachments_on_load ayarı etkin olduğunda bile erişilebilir olduğunu, yani kurbanın yalnızca indirmeyi tetikleyen bir sayfayı görüntülemesinin yeterli olduğunu belirtmektedir. İkincisi, dosya adındaki çift tırnak karakteri, tırnak içine alınmış dize değerini erken sonlandırarak ek Content-Disposition parametrelerinin enjekte edilmesine izin verir. Etkilenen kod yolu; öznitelik indirmeleri, teklif indirmeleri ve restSearch dışa aktarmaları dahil olmak üzere CakeResponse::download() metodunun tüm çağırıcılarını kapsar. Özel olarak hazırlanmış bir dosya adına sahip bir ek oluşturabilen veya yükleyebilen kimliği doğrulanmış bir kullanıcı (örneğin MISP öznitelik adlandırması veya teklif eki adlandırması aracılığıyla), kötü amaçlı dosya adını saklayabilir. Kimliği doğrulanmış başka herhangi bir kullanıcı etkilenen sayfayı görüntülediğinde, temizlenmemiş dosya adı HTTP yanıt başlığında yansıtılır; bu da başlık manipülasyonuna ve uygulama kaynağı bağlamında rastgele HTML veya JavaScript yürütülmesine neden olur. Güvenlik etkisi, oturum çalma, veri sızdırma ve kurban adına yetkisiz işlemler yapılmasına izin veren bir saklı siteler arası betik çalıştırma zafiyeti ile eşdeğerdir.