SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-42550

WysokieCVSS 8.8
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.40%

Percentyl 34 - wyżej niż 34% wszystkich znanych CVE

Streszczenie

W wersjach przed 3.18.1 frameworka Flight, metody SimplePdo::insert(), SimplePdo::update() i SimplePdo::delete() budują zapytania SQL poprzez bezpośrednie łączenie argumentu $table oraz kluczy tablicy $data, bez odpowiedniego cytowania identyfikatorów i walidacji. To umożliwia atakującym wstrzykiwanie dowolnego SQL poprzez manipulację kluczami tablicy.

Ocena ryzyka

Organizacje korzystające z podatnych wersji mogą być narażone na ataki SQL injection, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji.

Rekomendacja

Zaleca się aktualizację frameworka Flight do wersji 3.18.1 lub nowszej, aby usunąć tę podatność.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

Flight is an extensible micro-framework for PHP. Prior to 3.18.1, SimplePdo::insert(), SimplePdo::update(), and SimplePdo::delete() build SQL statements by concatenating the $table argument and the keys of the $data array directly into the query, with no identifier quoting and no validation. When an application forwards user-controlled data shapes to these helpers — a common and documented pattern, e.g. $db->insert('users', $request->data->getData()) — an attacker can inject arbitrary SQL by crafting malicious array keys. This vulnerability is fixed in 3.18.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS