Към съдържанието
Търсене

CVE-2026-119417: cakephp, инжекция

6.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

CakePHP 4.5.12, 4.6.5, 5.1.8 through 5.1.10, 5.2.14 through 5.2.15, 5.3.7, and 5.4.0 through 5.4.3 contain an email header injection vulnerability because SmtpTransport and MailTransport strip only CRLF pairs from header values, an incomplete fix for CVE-2026-77634. Attackers controlling custom headers set via Message::setHeaders() or Message::addHeaders() can insert a bare CR or LF to inject headers like Bcc, redirecting or altering outgoing mail.

Засегнати продукти

  • cakephp cakephp: 4.5.12 до 4.5.12; 4.6.5 до 4.6.5; 5.1.8 до 5.1.10; 5.2.14 до 5.2.15; 5.3.7 до 5.3.7; 5.4.0 до 5.4.3

Вид слабост

История

  • 30 октомври 2026 Публикувано

Други уязвимости в cakephp cakephp

Първоизточници

CVE-2026-119417: cakephp, инжекция | freedomonline.bg