CVE-2026-79752
Açıklama
CakePHP, PHP için hızlı bir geliştirme çerçevesidir. 4.5.12, 4.6.5, 5.1.9, 5.2.14 ve 5.3.7 sürümlerinden önce, src/Database/FunctionsBuilder.php dosyasındaki FunctionsBuilder::cast, FunctionsBuilder::extract, FunctionsBuilder::datePart ve FunctionsBuilder::dateAdd fonksiyonları; kullanıcı kontrollü dataType, part veya unit değerlerini kabul etmekte ve bunları oluşturulan SQL'e kaçış karakterleri uygulanmamış yapısal parçalar olarak dahil etmektedir. Güvenilmeyen girdileri bu parametrelere aktaran bir uygulama, veritabanı bağlantısının yetkilerine bağlı olarak gizlilik, bütünlük ve erişilebilirlik etkisine sahip SQL enjeksiyonuna izin verebilir. Bu sorun 4.5.12, 4.6.5, 5.1.9, 5.2.14 ve 5.3.7 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- cakephp/database4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7 ya da sonraki bir sürüm
- cakephp/cakephp4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cakephp/databasePackagist | 3.0.0 ≤ v < 4.5.12, 4.6.0 ≤ v < 4.6.5, 5.0.0 ≤ v < 5.1.9, 5.2.0 ≤ v < 5.2.14, 5.3.0 ≤ v < 5.3.7 | 4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7 |
| cakephp/cakephpPackagist | v < 4.5.12, 4.6.0 ≤ v < 4.6.5, 5.0.0 ≤ v < 5.1.9, 5.2.0 ≤ v < 5.2.14, 5.3.0 ≤ v < 5.3.7 | 4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.