CVE-2026-42475

ŚrednieCVSS 6.5

Opublikowano: 01/05/2026(UTC)Zaktualizowano: 08/07/2026(UTC)Przetłumaczono: 09/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Podatność SQL injection w MixPHP Framework w wersjach 2.x do 2.2.17. Luka występuje w funkcji joinOn w pliku BuildHelper.php, gdzie nieprawidłowo obsługiwana jest tablica `on`, umożliwiając wstrzyknięcie kodu SQL.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych zapytań SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych w bazie danych.

Rekomendacja

Należy natychmiast zaktualizować MixPHP Framework do wersji nowszej niż 2.2.17, która zawiera poprawkę eliminującą podatność SQL injection.

Inne podatności w MixPHP Framework

CVE-2026-37552Wysokie
W MixPHP Framework w wersjach 2.x do 2.2.17 występuje podatność na niebezpieczną deserializację. Serwer TCP sync-invoke odbiera dane z gniazda TCP i bezpośrednio przekazuje je do funkcji Opis\Closure\unserialize(), a następnie wykonuje wynik za pomocą call_user_func(). Brak uwierzytelnienia lub weryfikacji sygnatury na połączeniu TCP umożliwia atakującemu z dostępem do lokalnego portu TCP (serwer wiąże 127.0.0.1) wysłanie spreparowanej serializowanej domknięcia PHP w celu uzyskania zdalnego wykonania kodu.

Oryginalny opis (angielski, źródło NVD)

SQL injection vulnerability in MixPHP Framework 2.x thru 2.2.17 via crafted `on` array to the joinOn function in BuildHelper.php.