IT-Sicherheit

CakePHP: SQL-Injection-Schwachstellen in FunctionsBuilder ermöglichen Angriffe auf Datenbanken

In CakePHP wurden mehrere SQL-Injection-Schwachstellen in den Methoden cast() , extract() , datePart() und dateAdd() des FunctionsBuilder entdeckt. Angreifer können die Schwachstellen ausnutzen, indem sie manipulierte Daten an die Parameter $dataType , $part oder $unit übergeben. Betroffen sind Versionen vor 4.5.12, 4.6.5, 5.1.9, 5.2.14 und 5.3.7.

Warum relevant: SQL-Injection-Schwachstellen ermöglichen Angreifern das Auslesen, Ändern oder Löschen von Datenbankinhalten. Da CakePHP häufig in Webanwendungen eingesetzt wird, kann dies zu Datenlecks oder Sabotage führen.

Prüfpunkte für Ihr Team:

• Wird CakePHP im Unternehmen eingesetzt, und welche Version ist installiert?
• Wurden die Patches für die betroffenen Versionen (4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7) bereits angewendet?

• github.com – Originalquelle (neuer Tab)