CVE-2026-45418
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
ClipBucket v5 to otwarta platforma do udostępniania wideo, która przed wersją 5.5.3 - #132 miała lukę umożliwiającą uwierzytelnionym użytkownikom dodawanie wielu napisów z różnych plików oraz zmianę ich tytułów. Żądanie POST /actions/subtitle_edit.php, używane do zmiany tytułów, zawiera parametr liczbowy podatny na atak SQL Injection.
Ocena ryzyka
Atakujący może wykorzystać lukę do przeprowadzenia ataku typu boolean-based blind SQL injection, co może prowadzić do wykradzenia wrażliwych danych. To stwarza poważne zagrożenie dla bezpieczeństwa danych użytkowników.
Rekomendacja
Zaleca się aktualizację do wersji 5.5.3 - #132, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa aplikacji w celu zidentyfikowania innych potencjalnych luk.
Inne podatności w ClipBucket v5
Zobacz wszystkie- CVE-2012-6643Wysokie
Wielokrotne podatności na wstrzykiwanie SQL w funkcji update_counter w pliku includes/functions.php w ClipBucket 2.6 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru time w plikach videos.php lub channels.php.
- CVE-2026-80138Krytyczne
Instalator internetowy ClipBucket V5 nie waliduje ani nie escapuje parametru php_cli_filepath przed przekazaniem go do wykonania w powłoce. Nieuwierzytelnieni atakujący mogą wysłać spreparowane żądanie POST do instalatora z złośliwą wartością php_cli_filepath, aby wykonać dowolne polecenia jako użytkownik serwera WWW.
- CVE-2026-42846Krytyczne
ClipBucket v5 to otwartoźródłowa platforma do udostępniania wideo. W wersjach przed 5.5.3 - #140, funkcja Remote Play pozwalała na dodawanie wideo przez importowanie zewnętrznego URL, co prowadziło do wykonania dowolnych poleceń systemowych z powodu braku odpowiedniego zabezpieczenia URL.
- CVE-2026-21875Krytyczne
ClipBucket v5 (wersje 5.5.2-#187 i niższe) umożliwia atakującemu wykonanie ślepego SQL Injection przez sekcję dodawania komentarzy w kanale. Parametr obj_id w żądaniu POST do /actions/ajax.php jest używany w funkcji user_exists w pliku upload/includes/classes/user.class.php jako parametr $id, a następnie w funkcji count w pliku upload/includes/classes/db.class.php. Parametr $id jest konkatenowany do zapytania bez walidacji i sanityzacji, a dane wejściowe takie jak 1' or 1=1-- - mogą wywołać wstrzyknięcie. W chwili publikacji nie ma poprawki.
- CVE-2025-67418Krytyczne
ClipBucket 5.5.2 zawiera domyślne, zakodowane na stałe dane uwierzytelniające administratora. Niezalogowany atakujący zdalny może zalogować się do panelu administracyjnego, uzyskując pełną kontrolę nad aplikacją.
- CVE-2026-49482Średnie
ClipBucket v5 to otwartoźródłowa platforma do udostępniania wideo, która przed wersją 5.5.3 - #141 zawierała niewłaściwe neutralizowanie znaków wieloznacznych SQL w punkcie edycji napisów. Użytkownik z autoryzacją mógł wysłać znak % jako parametr liczbowy, co pozwalało na nadpisanie wszystkich tytułów napisów dowolnego wideo, które posiadał, w jednym żądaniu HTTP.
- CVE-2026-47238Średnie
ClipBucket v5 to otwarta platforma do udostępniania wideo. W wersjach przed 5.5.3 - #133, normalny uwierzytelniony użytkownik mógł edytować napisy wideo innego użytkownika z powodu braku autoryzacji.
- CVE-2026-37470Wysokie
Podatność w ClipBucket v5.5.2 umożliwiająca zdalnemu atakującemu wykonanie dowolnego kodu poprzez interfejs uwierzytelniania, stronę logowania i nagłówki odpowiedzi HTTP.
Oryginalny opis (angielski, źródło NVD)
ClipBucket v5 is an open source video sharing platform. Prior to version 5.5.3 - #132, any authenticated user who can upload videos can add multiple subtitles from different files and change their title (English, Spanish...). The POST /actions/subtitle_edit.php request used to change their title includes a number parameter which is vulnerable to SQL Injection. A boolean-based blind SQL injection can be used to exfiltrate sensitive data. This issue has been patched in version 5.5.3 - #132.