abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  CVE-2026-79752

Write-up: https://abraxaslabs.tech/research/CVE-2026-79752

CVE-2026-79752

CakePHP 5.2.13 - cakephp

Sou @abraxas_null. Laboratório loopback. O cliente é CVE-2026-79752-Abraxas-Labs.py.

Literal CAST AS. FunctionsBuilder::cast (e extract / datePart / dateAdd) insere dataType / part / unit do chamador no SQL como estrutura não escapada. GET do laboratório /?type= em cast('body', $_GET['type']) no sqlite. Não é WordPress. Irmão do CVE-2026-77635 (jsonValue / Postgres). Corrigido em 5.2.14, 5.3.7, 5.1.9, 4.6.5, 4.5.12.

CVE	CVE-2026-79752 · CVE.org
CWE	CWE-89
CVSS	Crítico: 9.2 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produto	CakePHP
Afetado	5.2.x até 5.2.13 (também 4.5.x < 4.5.12, 4.6.x < 4.6.5, 5.1.x < 5.1.9, 5.3.x < 5.3.7)
Corrigido	5.2.14, 5.3.7, 5.1.9, 4.6.5, 4.5.12
Autenticação	nenhuma
Licença	GNU Affero GPL v3.0
Laboratório	apenas 127.0.0.1

---

O que um atacante pode fazer

Uma aplicação que passa dados da requisição para func()->cast(..., $type) (ou para os outros três) permite que o chamador feche o CAST e faça UNION com o que quiser. O laboratório vaza notes.body. Isso é injeção de SQL no query builder do CakePHP, não no jsonpath do Postgres.

---

Como eu encontrei

O GHSA nomeava quatro métodos. Li cast e então construí um app sqlite que passa GET para ele.

O GET padrão em / é CAST(body AS INTEGER) e [{"v":0}]. Isso é o produto funcionando. O GET de injeção deve colocar um fragmento em sql= e retornar POCWitness79752.

Caminhos errados: composer 500 porque a imagem pulou composer install; grep do witness no código-fonte PHP; sql= ainda apenas CAST(body AS INTEGER) após o GET de injeção.

---

O laboratório

Porta 8088. cakephp/database 5.2.13. App do laboratório em lab/lab-www. sqlite notes.body = POCWitness79752.

• lab/Dockerfile
• lab/docker-compose.yml
• lab/lab-www/

Alvo apenas 127.0.0.1:8088 (ou o loopback que você vinculou).

cd lab
docker compose up --force-recreate
python3 ../CVE-2026-79752-Abraxas-Labs.py

Testemunha: POCWitness79752 no corpo HTTP e sql= mostra o fragmento injetado, não apenas CAST(body AS INTEGER).

Formas de perder sem aprender nada:

• Apenas CAST AS INTEGER / TEXT, sem fragmento de injeção em sql=
• composer 500
• reverse shell

---

A correção

Atualize o CakePHP para 5.2.14 (ou 5.3.7 / 5.1.9 / 4.6.5 / 4.5.12). Execute novamente CVE-2026-79752-Abraxas-Labs.py contra a versão corrigida: o fragmento injetado não deve aparecer em sql=.

---

Referências

• CVE-2026-79752 · NVD

• CVE-2026-79752 · CVE.org

• github.com/cakephp/cakephp/commit/3349584ca3a891afaff2dbc324d6b1c09fb880f0

• github.com/cakephp/cakephp/commit/3f4d13ea4280067f3381ecf935a8bef5b7cdcc2e

• github.com/cakephp/cakephp/commit/79e1d6bc6f3a50fa01805579076a02c77370c676

• github.com/cakephp/cakephp/commit/8699d6f38e25fe46fcc24f2b698809948e71ad7d

• github.com/cakephp/cakephp/commit/ab608711674ac662af7315c5cdf1e0fbe2000e45

• github.com/cakephp/cakephp/pull/19520

• github.com/cakephp/cakephp/pull/19528

• github.com/cakephp/cakephp/releases/tag/4.5.12

• github.com/cakephp/cakephp/releases/tag/4.6.5

• github.com/cakephp/cakephp/releases/tag/5.1.9

• github.com/cakephp/cakephp/releases/tag/5.2.14

• github.com/cakephp/cakephp/releases/tag/5.3.7

• github.com/cakephp/cakephp/security/advisories/GHSA-vjqc-q4mp-2rvf

• github.com/CVEProject/cvelistV5/tree/main/cves/2026/79xxx/CVE-2026-79752.json

• nvd.nist.gov/vuln/detail/CVE-2026-79752

• github.com/advisories/GHSA-vjqc-q4mp-2rvf

• github.com/cakephp/cakephp/releases/tag/5.1.8

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

---

Licença

GNU Affero GPL v3.0. Consulte LICENSE.

---

O cliente se comunica com o loopback. O uso contra sistemas que você não possui não é autorizado pela Abraxas Labs. Sem garantias.

abraxaslabs.tech · github.com/abraxas · @abraxas_null