CVE-2026-77634
CakePHP: SmtpTransport CRLF हेडर इंजेक्शन के प्रति असुरक्षित
- प्रकाशित
- 24 अग॰ 2026
- अद्यतन
- 25 अग॰ 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 13 अक्टू॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 44.1%
- मॉडल दिनांक
- 13 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
CakePHP, PHP के लिए एक तेज़ विकास फ्रेमवर्क है। अपनी-अपनी रिलीज़ लाइनों पर संस्करण 4.5.12, 4.6.5, 5.1.8, 5.2.14, और 5.3.7 से पहले, Message::setHeaders() या Message::addHeaders() के साथ जोड़े गए कस्टम मेल हेडर से CRLF बाइट्स हटाए नहीं जाते हैं, जिससे संदेश हेडर में उपयोगकर्ता-नियंत्रित डेटा का उपयोग किए जाने पर हेडर इंजेक्शन की अनुमति मिलती है। यह समस्या संस्करण 4.5.12, 4.6.5, 5.1.8, 5.2.14, और 5.3.7 में ठीक कर दी गई है।
स्रोत
CakePHP 5.4.2 - उच्च - रिमोट - हेडर इंजेक्शन - SmtpTransport में GHSA-2qh5 का अकेला LF अवशेष
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।