CVE-2026-21875
KrytyczneStreszczenie
ClipBucket v5 (wersje 5.5.2-#187 i niższe) umożliwia atakującemu wykonanie ślepego SQL Injection przez sekcję dodawania komentarzy w kanale. Parametr obj_id w żądaniu POST do /actions/ajax.php jest używany w funkcji user_exists w pliku upload/includes/classes/user.class.php jako parametr $id, a następnie w funkcji count w pliku upload/includes/classes/db.class.php. Parametr $id jest konkatenowany do zapytania bez walidacji i sanityzacji, a dane wejściowe takie jak 1' or 1=1-- - mogą wywołać wstrzyknięcie. W chwili publikacji nie ma poprawki.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do danych w bazie danych, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Należy ograniczyć dostęp do aplikacji, monitorować ruch i oczekiwać na oficjalną poprawkę od producenta.
Inne podatności w ClipBucket
Zobacz wszystkie- CVE-2026-77929Wysokie
ClipBucket v5 przed 5.5.3-#182 zawiera podatność na przesyłanie plików, która pozwala uwierzytelnionym użytkownikom na zdalne wykonanie kodu poprzez przesłanie pliku PHP z prawidłowymi bajtami magicznymi obrazu przez endpoint przesyłania zdjęć. Funkcja FileUpload::manageFile() nie aktualizuje rozszerzenia pliku po walidacji MIME, co pozwala na utrzymanie rozszerzenia .php i jego wykonanie przez PHP-FPM.
- CVE-2026-77928Średnie
ClipBucket v5 przed wersją 5.5.3-#182 zawiera podatność blind SQL injection. Uwierzytelniony użytkownik może przesłać parametr msg_id jako tablicę, aby ominąć funkcję sanityzującą clean_requests() w ClipBucket.class.php, a następnie wstrzyknąć niezabezpieczony identyfikator wiadomości do zapytania SQL w cb_pm::delete_msg().
- CVE-2026-77927Średnie
ClipBucket v5 przed wersją 5.5.3-#182 zawiera podatność blind SQL injection. Uwierzytelniony użytkownik może przesłać parametr check_photo jako tablicę, aby ominąć funkcję sanityzującą clean_requests() w ClipBucket.class.php, a następnie wstrzyknąć niezabezpieczone wartości do zapytania SQL w photo_exists() w photos.class.php.
- CVE-2012-6643Wysokie
Wielokrotne podatności na wstrzykiwanie SQL w funkcji update_counter w pliku includes/functions.php w ClipBucket 2.6 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru time w plikach videos.php lub channels.php.
- CVE-2026-80138Krytyczne
Instalator internetowy ClipBucket V5 nie waliduje ani nie escapuje parametru php_cli_filepath przed przekazaniem go do wykonania w powłoce. Nieuwierzytelnieni atakujący mogą wysłać spreparowane żądanie POST do instalatora z złośliwą wartością php_cli_filepath, aby wykonać dowolne polecenia jako użytkownik serwera WWW.
- CVE-2026-42846Krytyczne
ClipBucket v5 to otwartoźródłowa platforma do udostępniania wideo. W wersjach przed 5.5.3 - #140, funkcja Remote Play pozwalała na dodawanie wideo przez importowanie zewnętrznego URL, co prowadziło do wykonania dowolnych poleceń systemowych z powodu braku odpowiedniego zabezpieczenia URL.
- CVE-2025-67418Krytyczne
ClipBucket 5.5.2 zawiera domyślne, zakodowane na stałe dane uwierzytelniające administratora. Niezalogowany atakujący zdalny może zalogować się do panelu administracyjnego, uzyskując pełną kontrolę nad aplikacją.
- CVE-2026-49482Średnie
ClipBucket v5 to otwartoźródłowa platforma do udostępniania wideo, która przed wersją 5.5.3 - #141 zawierała niewłaściwe neutralizowanie znaków wieloznacznych SQL w punkcie edycji napisów. Użytkownik z autoryzacją mógł wysłać znak % jako parametr liczbowy, co pozwalało na nadpisanie wszystkich tytułów napisów dowolnego wideo, które posiadał, w jednym żądaniu HTTP.
- CVE-2026-47238Średnie
ClipBucket v5 to otwarta platforma do udostępniania wideo. W wersjach przed 5.5.3 - #133, normalny uwierzytelniony użytkownik mógł edytować napisy wideo innego użytkownika z powodu braku autoryzacji.
- CVE-2026-45418Wysokie
ClipBucket v5 to otwarta platforma do udostępniania wideo, która przed wersją 5.5.3 - #132 miała lukę umożliwiającą uwierzytelnionym użytkownikom dodawanie wielu napisów z różnych plików oraz zmianę ich tytułów. Żądanie POST /actions/subtitle_edit.php, używane do zmiany tytułów, zawiera parametr liczbowy podatny na atak SQL Injection.
Oryginalny opis (angielski, źródło NVD)
ClipBucket v5 is an open source video sharing platform. Versions 5.5.2-#187 and below allow an attacker to perform Blind SQL Injection through the add comment section within a channel. When adding a comment within a channel, there is a POST request to the /actions/ajax.php endpoint. The obj_id parameter within the POST request to /actions/ajax.php is then used within the user_exists function of the upload/includes/classes/user.class. php file as the $id parameter. It is then used within the count function of the upload/includes/classes/db.class. php file. The $id parameter is concatenated into the query without validation or sanitization, and a user-supplied input like 1' or 1=1-- - can be used to trigger the injection. This issue does not have a fix at the time of publication.