Kritisch

CakePHP Database\\Query::offset() and limit() methods are vulnerable to SQL injection

Veröffentlicht: 20.01.2023
Aktualisiert: 11.10.2026 10:22

Impact

The Cake\Database\Query::limit() and Cake\Database\Query::offset() methods are vulnerable to SQL injection if passed un-sanitized user request data.

Patches

This issue has been fixed in 4.2.12, 4.3.11, 4.4.10

Workarounds

Using CakePHP's Pagination library will mitigate this issue, as will validating or casting parameters to these methods.

References

https://bakery.cakephp.org/2023/01/06/cakephp_4211_4311_4410_released.html

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	cakephp/cakephp	>= 4.2.0, < 4.2.12, >= 4.3.0, < 4.3.11, >= 4.4.0, < 4.4.10	4.2.12, 4.3.11, 4.4.10
Composer-Paket	cakephp/database	>= 4.2.0, < 4.2.12, >= 4.3.0, < 4.3.11, >= 4.4.0, < 4.4.10	4.2.12, 4.3.11, 4.4.10

Verweise

CVSS-Wert 9.8/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE): CWE-89
Plattform: Composer
Paket: cakephp/cakephp, cakephp/database
Veröffentlicht: 20.01.2023
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-6g8q-qfpv-57wp - CC BY 4.0

Schwachstellenhistorie: cakephp/database

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 3
Erste → letzte: 01.2023 09.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 3

Veröffentlichungen pro Jahr

2023: 1
2024: 0
2025: 0
2026: 2

17.09.2026

CakePHP: Multiple methods in FunctionsBuilder vulnerable to SQL injection

Kritisch CVE-2026-79752 >= 3.0.0, < 4.5.12, >= 4.6.0, < 4.6.5, >= 5.0.0, < 5.1.9, >= 5.2.0, < 5.2.14, >= 5.3.0, < 5.3.7 4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7
08.09.2026

CakePHP: FunctionsBuilder::jsonValue() vulerable to SQL injection with PostgresDriver

Kritisch CVE-2026-77635 >= 5.3.0, < 5.3.7, >= 5.2.0, < 5.2.15, >= 5.1.0, < 5.1.10 5.3.7, 5.2.15, 5.1.10
20.01.2023

CakePHP Database\\Query::offset() and limit() methods are vulnerable to SQL injection dieser Eintrag

Kritisch · 9.8 CVE-2023-22727 >= 4.2.0, < 4.2.12, >= 4.3.0, < 4.3.11, >= 4.4.0, < 4.4.10 4.2.12, 4.3.11, 4.4.10

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden