Tóm tắt nhanh
- CVE-2026-77635 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.2) ảnh hưởng cakephp/cakephp, cakephp/database.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.49%, cao hơn 42.3% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 5.1.10, 5.2.15, 5.3.7 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| cakephp/cakephp Packagist | ≥ 5.1.0, < 5.1.10≥ 5.2.0, < 5.2.15≥ 5.3.0, < 5.3.7
| 5.1.105.2.155.3.7
|
| cakephp/database Packagist | ≥ 5.1.0, < 5.1.10≥ 5.2.0, < 5.2.15≥ 5.3.0, < 5.3.7
| 5.1.105.2.155.3.7
|
Mô tả
Impact
The FunctionsBuilder::jsonValue($field, $jsonPath) methods with the Postgres driver is vulnerable to SQL injection if user controlled data is supplied to the $jsonPath parameter.
Patches
5.1.10, 5.2.15, 5.3.7
Workarounds
Don't provide user controlled data to these functions/parameters.
Mô tả của NVD
CakePHP is a rapid development framework for PHP. Prior to versions 5.1.10, 5.2.15, and 5.3.7 on their respective release lines, FunctionsBuilder::jsonValue() with PostgresDriver is vulnerable to SQL injection when user-controlled data is supplied to the jsonPath parameter. This issue is fixed in versions 5.1.10, 5.2.15, and 5.3.7.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí