CVE-2026-54713
NiskieCVSS 3.7Streszczenie
CakePHP Queue to biblioteka kolejkowa zgodna z queue-interop. Od wersji 0.1.11 do 2.3.1, metoda QueueManager::getUniqueId() generuje identyfikatory dla zadań z włączoną opcją shouldBeUnique na podstawie klasy, metody i parametrów, ale sortowanie wartości parametrów pomija klucze tablic asocjacyjnych. Nieuwierzytelniony atakujący, który może wpływać na parametry zadań, może przesłać semantycznie różne dane, które generują ten sam identyfikator, co powoduje odrzucanie prawidłowych zadań jako duplikatów. Problem naprawiono w wersji 2.3.1.
Ocena ryzyka
Atakujący może celowo powodować odrzucanie prawidłowych zadań, co prowadzi do zakłócenia działania systemu kolejkowego i potencjalnej utraty danych.
Rekomendacja
Zaleca się aktualizację CakePHP Queue do wersji 2.3.1 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
CakePHP Queue is a queue-interop compatible queueing library. From 0.1.11 until 2.3.1, QueueManager::getUniqueId() generates identifiers for jobs with shouldBeUnique enabled from the job class, method, and parameters, but sorting parameter values drops associative-array keys. An unauthenticated attacker who can influence job parameters can submit semantically different data that produces the same identifier, resulting in legitimate jobs dropped as duplicate collisions. This issue is fixed in version 2.3.1.