CVE-2026-110625

ClipBucket v5 do wersji 5.5.3-#206 zawiera podatność odbitego cross-site scripting w admin_area/language_settings.php poprzez niekodowany parametr GET edit_language. Atakujący mogą wysłać administratorom z uprawnieniami basic_settings spreparowany link, którego ładunek jest odzwierciedlany w ukrytym polu input, wykonując skrypt w kontekście panelu administracyjnego.

ClipBucket v5 do 5.5.3-#197 zawiera podatność na ślepą iniekcję SQL opartą na czasie w funkcji aktualizacji języka, gdzie parametr language_id jest konkatenowany bez escapowania do klauzuli WHERE w zapytaniu UPDATE. Uwierzytelniony administrator z uprawnieniami basic_settings może wstrzyknąć dowolne zapytania SQL w celu wyodrębnienia lub modyfikacji zawartości bazy danych.

Wielokrotne podatności na wstrzykiwanie SQL w funkcji update_counter w pliku includes/functions.php w ClipBucket 2.6 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru time w plikach videos.php lub channels.php.

Instalator internetowy ClipBucket V5 nie waliduje ani nie escapuje parametru php_cli_filepath przed przekazaniem go do wykonania w powłoce. Nieuwierzytelnieni atakujący mogą wysłać spreparowane żądanie POST do instalatora z złośliwą wartością php_cli_filepath, aby wykonać dowolne polecenia jako użytkownik serwera WWW.

ClipBucket v5 to otwartoźródłowa platforma do udostępniania wideo. W wersjach przed 5.5.3 - #140, funkcja Remote Play pozwalała na dodawanie wideo przez importowanie zewnętrznego URL, co prowadziło do wykonania dowolnych poleceń systemowych z powodu braku odpowiedniego zabezpieczenia URL.

ClipBucket v5 (wersje 5.5.2-#187 i niższe) umożliwia atakującemu wykonanie ślepego SQL Injection przez sekcję dodawania komentarzy w kanale. Parametr obj_id w żądaniu POST do /actions/ajax.php jest używany w funkcji user_exists w pliku upload/includes/classes/user.class.php jako parametr $id, a następnie w funkcji count w pliku upload/includes/classes/db.class.php. Parametr $id jest konkatenowany do zapytania bez walidacji i sanityzacji, a dane wejściowe takie jak 1' or 1=1-- - mogą wywołać wstrzyknięcie. W chwili publikacji nie ma poprawki.

ClipBucket 5.5.2 zawiera domyślne, zakodowane na stałe dane uwierzytelniające administratora. Niezalogowany atakujący zdalny może zalogować się do panelu administracyjnego, uzyskując pełną kontrolę nad aplikacją.

ClipBucket v5 w wersjach 5.5.2 - #156 i niższych pozwala uwierzytelnionemu zwykłemu użytkownikowi na utworzenie kolekcji zdjęć, której nazwa zawiera ładunki HTML/JavaScript, co czyni funkcję Manage Photos podatną na trwały XSS. Ładunek jest renderowany w interfejsie Admin → Manage Photos, co powoduje jego wykonanie w przeglądarce administratora, umożliwiając atakującemu działanie z podniesionymi uprawnieniami.

ClipBucket v5 do wersji 5.5.3-#206 zawiera podatność odbitego cross-site scripting w admin_area/index.php, która pozwala atakującym wstrzyknąć HTML poprzez parametr val w mode=add_todo. Atakujący mogą zwabić zalogowanego administratora do przesłania formularza POST cross-site bez ochrony CSRF, wykonując skrypt w kontekście panelu administracyjnego.

ClipBucket v5 do wersji 5.5.3-#197 zawiera podatność na wstrzyknięcie SQL, która umożliwia uwierzytelnionym użytkownikom z uprawnieniem ad_manager_access wstrzykiwanie SQL przez parametr delete w admin_area/ads_manager.php. Atakujący mogą używać ślepych payloadów opartych na czasie, aby wyodrębnić dane uwierzytelniające i e-maile użytkowników lub modyfikować i usuwać rekordy.