CVE-2026-79752

CakePHP 5.2.13 - cakephp

私は @abraxas_null です。ループバックラボです。クライアントは CVE-2026-79752-Abraxas-Labs.py です。

CAST AS リテラル。FunctionsBuilder::cast（および extract / datePart / dateAdd）は、呼び出し元の dataType / part / unit をエスケープされていない構造として SQL に挿入します。ラボでは sqlite 上で GET /?type= を cast('body', $_GET['type']) に渡します。WordPress ではありません。CVE-2026-77635（jsonValue / Postgres）の類似案件です。5.2.14、5.3.7、5.1.9、4.6.5、4.5.12 で修正済みです。


CVE	CVE-2026-79752 · CVE.org
CWE	CWE-89
CVSS	Critical: 9.2 `CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`
製品	CakePHP
影響範囲	5.2.x 5.2.13 まで（加えて 4.5.x < 4.5.12、4.6.x < 4.6.5、5.1.x < 5.1.9、5.3.x < 5.3.7）
修正済み	5.2.14、5.3.7、5.1.9、4.6.5、4.5.12
認証	不要
ライセンス	GNU Affero GPL v3.0
ラボ	`127.0.0.1` のみ

攻撃者ができること

リクエストデータを func()->cast(..., $type)（または他の3つ）に渡すアプリケーションでは、呼び出し元が CAST を閉じて任意のものを UNION できます。ラボでは notes.body が漏洩します。これは CakePHP クエリビルダーにおける SQL インジェクションであり、Postgres jsonpath におけるものではありません。

発見の経緯

GHSA は4つのメソッドを挙げていました。私は cast を読み、次に GET をそこへ渡す sqlite アプリを構築しました。

デフォルトの GET / は CAST(body AS INTEGER) と [{"v":0}] を返します。これは製品が正常に動作している状態です。インジェクション用の GET は、sql= にフラグメントを挿入し、かつ POCWitness79752 を返さなければなりません。

回り道: イメージが composer install をスキップしたため composer が 500 を返したこと、PHP ソースから witness を grep で探したこと、インジェクション用 GET の後も sql= が CAST(body AS INTEGER) のままだったこと。

ラボ

ポート 8088。cakephp/database 5.2.13。ラボアプリは lab/lab-www 配下。sqlite の notes.body = POCWitness79752。

対象は 127.0.0.1:8088 のみ（またはバインドしたループバック）。

cd lab
docker compose up --force-recreate
python3 ../CVE-2026-79752-Abraxas-Labs.py

Witness: HTTP ボディ内の POCWitness79752 かつ sql= に注入フラグメントが現れること。CAST(body AS INTEGER) だけでは不十分です。

何も学べずに失敗するパターン:

CAST AS INTEGER / TEXT のみで、sql= に注入フラグメントがない
composer 500
リバースシェル

修正

CakePHP を 5.2.14（または 5.3.7 / 5.1.9 / 4.6.5 / 4.5.12）に更新してください。パッチ適用済みのビルドに対して CVE-2026-79752-Abraxas-Labs.py を再実行し、注入フラグメントが sql= に現れないことを確認してください。

参考文献

ライセンス

GNU Affero GPL v3.0。LICENSE を参照してください。

このクライアントはループバックと通信します。所有していないシステムに対して使用することは、Abraxas Labs によって認可されていません。保証はありません。

abraxaslabs.tech · github.com/abraxas · @abraxas_null

CVE-2026-79752

人気

CVE-2026-79752

攻撃者ができること

発見の経緯

ラボ

修正

参考文献

ライセンス