CakePHP: SQL-Injection über Collation-Werte in StringExpression und IdentifierExpression

Zusammenfassung

CakePHP bis einschliesslich 5.4.3 validiert Collation-Namen nicht, die an StringExpression und IdentifierExpression übergeben werden. Ein Angreifer, der einen Collation-Wert kontrolliert, kann SQL nach der unquotierten COLLATE-Klausel anhängen, und das eingeschleuste SQL läuft mit den Rechten der Datenbankverbindung. Der Angriff setzt eine Anwendung voraus, die benutzerkontrollierte Collation- oder Locale-Werte an diese Klassen weitergibt; eine Standardinstallation stellt diesen Pfad nicht bereit.

Betroffen

• CakePHP bis einschliesslich 5.4.3 (Composer-Paket cakephp/cakephp)
• Die Herstellerdaten nennen die betroffenen Versionen mit 0 bis <= 5.4.3
• Die Auswirkung betrifft Anwendungen, die nicht vertrauenswürdige Collation-Werte an die Datenbank-Expression-API übergeben

Behoben in

• Unbekannt. In den geprüften Quellen ist kein korrigiertes Release bestätigt.
• Die Fix-Commits und der Pull Request #19726 sind im CVE-Eintrag referenziert; prüfen Sie diese auf das erste korrigierte 5.4.x-Release.

Umgehung

• Übergeben Sie keine nicht vertrauenswürdigen Eingaben an die Collation-Parameter von StringExpression oder IdentifierExpression.
• Fest codieren oder per Allowlist prüfen Sie Collation-Namen, die aus Request-Daten, importierter Konfiguration oder Datenbankfeldern stammen.
• Beschränken Sie die Rechte des Datenbankkontos, das die Anwendung verwendet.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog gelistet.
• Ein öffentlicher Forschungs-Proof-of-Concept existiert (Abraxas Labs, GitHub). Gehen Sie davon aus, dass das Problem für einen Angreifer, der einen verwundbaren Codepfad findet, leicht reproduzierbar ist.

Unsere Empfehlung

• Prüfen Sie Composer-Lock-Dateien und Abhängigkeitsinventare auf cakephp/cakephp in den Versionen 5.4.3 oder älter.
• Prüfen Sie den Anwendungscode auf Collation-Werte aus Benutzereingaben und entfernen Sie diese oder setzen Sie eine Allowlist ein.
• Aktualisieren Sie auf ein korrigiertes CakePHP-5.4.x-Release, sobald der Hersteller eines bestätigt.
• Priorisieren Sie aus dem Internet erreichbare Anwendungen, die Benutzereingaben in der Nähe von Datenbankabfragen verarbeiten.
• Beobachten Sie die Release-Seite und die Sicherheitskanäle von CakePHP auf den Patch.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record reference: VulnCheck advisory www.vulncheck.com
• CakePHP pull request 19726 github.com
• CakePHP StringExpression.php github.com
• CakePHP IdentifierExpression.php github.com
• CakePHP releases github.com
• CakePHP end-of-life and support status github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:53.