CakePHPにSQLインジェクションの脆弱性、修正版あり
Summary
CakePHPの5.4.3以前に、照合順序の名前を通じてSQLを差し込める脆弱性が公開されました。CakePHPで業務システムを動かしている担当者は、版を確認して修正版に更新し、照合順序に外部入力を渡していないかもコードで見直してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
CakePHPの5.4.3以前に、照合順序の名前を通じてSQLを差し込める脆弱性が公開されました。CakePHPで業務システムを動かしている担当者は、版を確認して修正版に更新し、照合順序に外部入力を渡していないかもコードで見直してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| cakephp | cakephp |
≤ 5.4.3 |
— |
Original description The description as published by the source.
CakePHP through 5.4.3 contains an sql injection vulnerability that allows attackers to inject SQL by supplying unvalidated collation values to StringExpression and IdentifierExpression. Attackers controlling a collation name passed to the constructor or setCollation() can append SQL after the unquoted COLLATE clause, affecting every database driver within the connection's privileges.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory abraxaslabs.tech
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- patch github.com
- patch github.com
- patch github.com
- patch github.com
- patch github.com
- web github.com
- web github.com
- web github.com