CakePHP: SQL-Injection über WindowExpression range() und frame()

Zusammenfassung

CakePHP bis einschliesslich 5.4.3 validiert Frame-Offsets und Richtungen nicht, die an WindowExpression::range() und frame() übergeben werden. Leitet eine Anwendung unvalidierte Benutzereingaben in die OVER-Klausel weiter, kann ein Angreifer SQL einschleusen und mit den Rechten der Datenbankverbindung ausführen. Standardinstallationen von CakePHP stellen diese Methode von sich aus nicht über Benutzereingaben bereit.

Betroffen

• CakePHP bis einschliesslich 5.4.3 (cakephp/cakephp und cakephp/database)
• Ob 4.x-Versionen betroffen sind, ist unbekannt.

Behoben in

Unbekannt. In den geprüften Quellen ist keine korrigierte Version bestätigt. CakePHP 5.1.10, 5.2.15 und 5.3.7 sind keine Korrekturen dieser Lücke; sie gehören zu CVE-2026-77635.

Umgehung

• Keine unvertrauenswürdigen Eingaben an range() oder frame() übergeben.
• Falls dies nicht möglich ist, Frame-Typ (RANGE, ROWS, GROUPS) und Richtung (PRECEDING, FOLLOWING) über eine Allowlist begrenzen und Offsets strikt validieren.
• Die Rechte des Datenbankkontos einschränken.

Ausnutzung

• Ein öffentlicher Proof of Concept existiert für eine Laborumgebung.
• Keine bestätigte Ausnutzung in freier Wildbahn.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Der NVD-Status lautet Deferred.

Unsere Empfehlung

• Alle CakePHP-Installationen einschliesslich 4.x anhand der composer.lock-Dateien inventarisieren.
• Eigenen Code auf Aufrufe von range() oder frame() prüfen, die Anfragedaten erhalten, und diese Eingaben entfernen oder validieren.
• Die Workaround-Massnahmen sofort umsetzen und die Rechte des Datenbankkontos einschränken.
• Auf die erste korrigierte 5.x-Version aktualisieren, sobald der Hersteller sie bestätigt; Migration weg von 4.x planen.
• NVD-Eintrag und Herstellerhinweise auf Updates überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record / VulnCheck advisory www.vulncheck.com
• Abraxas Labs research abraxaslabs.tech
• CakePHP WindowExpression.php (5.x) github.com
• CakePHP security policy github.com
• CakePHP repository github.com
• Strix CVE-2026-119418 www.strix.ai
• VulDB 428998 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:53.