CVE-2025-67418

ClipBucket v5 do 5.5.3-#197 zawiera podatność na ślepą iniekcję SQL opartą na czasie w funkcji aktualizacji języka, gdzie parametr language_id jest konkatenowany bez escapowania do klauzuli WHERE w zapytaniu UPDATE. Uwierzytelniony administrator z uprawnieniami basic_settings może wstrzyknąć dowolne zapytania SQL w celu wyodrębnienia lub modyfikacji zawartości bazy danych.

Wielokrotne podatności na wstrzykiwanie SQL w funkcji update_counter w pliku includes/functions.php w ClipBucket 2.6 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru time w plikach videos.php lub channels.php.

Instalator internetowy ClipBucket V5 nie waliduje ani nie escapuje parametru php_cli_filepath przed przekazaniem go do wykonania w powłoce. Nieuwierzytelnieni atakujący mogą wysłać spreparowane żądanie POST do instalatora z złośliwą wartością php_cli_filepath, aby wykonać dowolne polecenia jako użytkownik serwera WWW.

ClipBucket v5 to otwartoźródłowa platforma do udostępniania wideo. W wersjach przed 5.5.3 - #140, funkcja Remote Play pozwalała na dodawanie wideo przez importowanie zewnętrznego URL, co prowadziło do wykonania dowolnych poleceń systemowych z powodu braku odpowiedniego zabezpieczenia URL.

ClipBucket v5 (wersje 5.5.2-#187 i niższe) umożliwia atakującemu wykonanie ślepego SQL Injection przez sekcję dodawania komentarzy w kanale. Parametr obj_id w żądaniu POST do /actions/ajax.php jest używany w funkcji user_exists w pliku upload/includes/classes/user.class.php jako parametr $id, a następnie w funkcji count w pliku upload/includes/classes/db.class.php. Parametr $id jest konkatenowany do zapytania bez walidacji i sanityzacji, a dane wejściowe takie jak 1' or 1=1-- - mogą wywołać wstrzyknięcie. W chwili publikacji nie ma poprawki.

ClipBucket v5 w wersjach 5.5.2 - #156 i niższych pozwala uwierzytelnionemu zwykłemu użytkownikowi na utworzenie kolekcji zdjęć, której nazwa zawiera ładunki HTML/JavaScript, co czyni funkcję Manage Photos podatną na trwały XSS. Ładunek jest renderowany w interfejsie Admin → Manage Photos, co powoduje jego wykonanie w przeglądarce administratora, umożliwiając atakującemu działanie z podniesionymi uprawnieniami.

ClipBucket v5 do wersji 5.5.3-#197 zawiera podatność na wstrzyknięcie SQL, która umożliwia uwierzytelnionym użytkownikom z uprawnieniem ad_manager_access wstrzykiwanie SQL przez parametr delete w admin_area/ads_manager.php. Atakujący mogą używać ślepych payloadów opartych na czasie, aby wyodrębnić dane uwierzytelniające i e-maile użytkowników lub modyfikować i usuwać rekordy.

ClipBucket v5 do 5.5.3-#197 zawiera podatność na ślepą iniekcję SQL opartą na czasie w funkcji edycji wideo w panelu administratora, gdzie parametr videoid jest konkatenowany do zapytania UPDATE bez odpowiedniego escapowania. Uwierzytelniony administrator z uprawnieniami video_moderation może wstrzyknąć dowolne komendy SQL w celu wyodrębnienia lub modyfikacji zawartości bazy danych.

ClipBucket v5 przed 5.5.3-#197 zawiera podatność typu path traversal w edytorze szablonów administratora, która pozwala uwierzytelnionym administratorom nadpisywać pliki PHP poprzez podanie sekwencji przejścia katalogowego w parametrze folder. Atakujący z uprawnieniem manage_template_access może wyjść poza katalog layout, aby modyfikować wykonywalne pliki PHP i osiągnąć zdalne wykonanie kodu jako użytkownik serwera WWW.

Podatność ślepego SQL injection w ClipBucket v5 przed 5.5.3-#182 w punkcie końcowym wyszukiwania zdjęć, gdzie parametr query jest przekazywany bez sanityzacji do klauzul SQL WHERE i ORDER BY. Niezautoryzowani atakujący mogą wykorzystać techniki time-based blind SQL injection do wyodrębnienia danych uwierzytelniających i hashy haseł administratora.