CVE-2026-95812

ClipBucket v5 przed 5.5.3-#197 zawiera podatność typu path traversal w edytorze szablonów administratora, która pozwala uwierzytelnionym administratorom nadpisywać pliki PHP poprzez podanie sekwencji przejścia katalogowego w parametrze folder. Atakujący z uprawnieniem manage_template_access może wyjść poza katalog layout, aby modyfikować wykonywalne pliki PHP i osiągnąć zdalne wykonanie kodu jako użytkownik serwera WWW.

Wielokrotne podatności na wstrzykiwanie SQL w funkcji update_counter w pliku includes/functions.php w ClipBucket 2.6 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru time w plikach videos.php lub channels.php.

Instalator internetowy ClipBucket V5 nie waliduje ani nie escapuje parametru php_cli_filepath przed przekazaniem go do wykonania w powłoce. Nieuwierzytelnieni atakujący mogą wysłać spreparowane żądanie POST do instalatora z złośliwą wartością php_cli_filepath, aby wykonać dowolne polecenia jako użytkownik serwera WWW.

ClipBucket v5 to otwartoźródłowa platforma do udostępniania wideo. W wersjach przed 5.5.3 - #140, funkcja Remote Play pozwalała na dodawanie wideo przez importowanie zewnętrznego URL, co prowadziło do wykonania dowolnych poleceń systemowych z powodu braku odpowiedniego zabezpieczenia URL.

ClipBucket v5 (wersje 5.5.2-#187 i niższe) umożliwia atakującemu wykonanie ślepego SQL Injection przez sekcję dodawania komentarzy w kanale. Parametr obj_id w żądaniu POST do /actions/ajax.php jest używany w funkcji user_exists w pliku upload/includes/classes/user.class.php jako parametr $id, a następnie w funkcji count w pliku upload/includes/classes/db.class.php. Parametr $id jest konkatenowany do zapytania bez walidacji i sanityzacji, a dane wejściowe takie jak 1' or 1=1-- - mogą wywołać wstrzyknięcie. W chwili publikacji nie ma poprawki.

ClipBucket 5.5.2 zawiera domyślne, zakodowane na stałe dane uwierzytelniające administratora. Niezalogowany atakujący zdalny może zalogować się do panelu administracyjnego, uzyskując pełną kontrolę nad aplikacją.

Podatność ślepego SQL injection w ClipBucket v5 przed 5.5.3-#182 w punkcie końcowym wyszukiwania zdjęć, gdzie parametr query jest przekazywany bez sanityzacji do klauzul SQL WHERE i ORDER BY. Niezautoryzowani atakujący mogą wykorzystać techniki time-based blind SQL injection do wyodrębnienia danych uwierzytelniających i hashy haseł administratora.

ClipBucket v5 przed 5.5.3-#182 zawiera podatność na przesyłanie plików, która pozwala uwierzytelnionym użytkownikom na zdalne wykonanie kodu poprzez przesłanie pliku PHP z prawidłowymi bajtami magicznymi obrazu przez endpoint przesyłania zdjęć. Funkcja FileUpload::manageFile() nie aktualizuje rozszerzenia pliku po walidacji MIME, co pozwala na utrzymanie rozszerzenia .php i jego wykonanie przez PHP-FPM.

ClipBucket v5 przed wersją 5.5.3-#182 zawiera podatność blind SQL injection. Uwierzytelniony użytkownik może przesłać parametr msg_id jako tablicę, aby ominąć funkcję sanityzującą clean_requests() w ClipBucket.class.php, a następnie wstrzyknąć niezabezpieczony identyfikator wiadomości do zapytania SQL w cb_pm::delete_msg().

ClipBucket v5 przed wersją 5.5.3-#182 zawiera podatność blind SQL injection. Uwierzytelniony użytkownik może przesłać parametr check_photo jako tablicę, aby ominąć funkcję sanityzującą clean_requests() w ClipBucket.class.php, a następnie wstrzyknąć niezabezpieczone wartości do zapytania SQL w photo_exists() w photos.class.php.