Iniciar sesión
Deutsch English Español Polski
Media

CakePHP PaginatorHelper::limitControl() vulnerable to reflected cross-site-scripting

  • Publicada: 16.01.2026
  • Actualizado: 11.10.2026 10:22

Impact

The PaginatorHelper::limitControl() method has a cross-site-scripting vulnerability via query string parameter manipulation.

Patches

This issue has been fixed in 5.2.12 and 5.3.1

Workarounds

If you are unable to upgrade, you should avoid using Paginator::limitControl() until you can upgrade.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer cakephp/cakephp >= 5.2.10, < 5.2.12, >= 5.3.0, < 5.3.1 5.2.12, 5.3.1

Referencias

Puntuación CVSS 5.4/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
Debilidad (CWE)
CWE-79
Plataforma
Composer
Paquete
cakephp/cakephp
Publicada
16.01.2026
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-qh8m-9qxx-53m5 - CC BY 4.0

Historial de vulnerabilidades: cakephp/cakephp

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (22) en el archivo
Entradas en total
22
Primera → última
12.2019 09.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 3
  • Alta 8
  • Media 11

Divulgaciones por año

Gravedad:
  1. CakePHP: Multiple methods in FunctionsBuilder vulnerable to SQL injection
    Crítica CVE-2026-79752 < 4.5.12, >= 4.6.0, < 4.6.5, >= 5.0.0, < 5.1.9, >= 5.2.0, < 5.2.14, >= 5.3.0, < 5.3.7 4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7
  2. CakePHP: FunctionsBuilder::jsonValue() vulerable to SQL injection with PostgresDriver
    Crítica CVE-2026-77635 >= 5.3.0, < 5.3.7, >= 5.2.0, < 5.2.15, >= 5.1.0, < 5.1.10 5.3.7, 5.2.15, 5.1.10
  3. CakePHP: SmtpTransport vulnerable to CRLF header injection
    Alta CVE-2026-77634 >= 4.5.0, < 4.5.12, >= 4.6.0, < 4.6.5, >= 5.0.0, < 5.1.9, >= 5.2.0, < 5.2.14, >= 5.3.0, < 5.3.7 4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7
  4. CakePHP PaginatorHelper::limitControl() vulnerable to reflected cross-site-scripting esta entrada
    Media · 5.4 CVE-2026-23643 >= 5.2.10, < 5.2.12, >= 5.3.0, < 5.3.1 5.2.12, 5.3.1
  5. CakePHP vulnerable to Denial of Service attack through XML payloads
    Alta ghsa-q79m-c546-2g63 >= 3.0.0, < 3.0.6, >= 2.0.0, < 2.0.99, >= 2.1.0, < 2.1.99, >= 2.2.0, < 2.2.99, >= 2.3.0, < 2.3.99, >= 2.4.0, < 2.4.99, >= 2.5.0, < 2.5.90, >= 2.6.0, < 2.6.6 3.0.6, 2.0.99, 2.1.99, 2.2.99, 2.3.99, 2.4.99, 2.5.90, 2.6.6
  6. CakePHP Database\\Query::offset() and limit() methods are vulnerable to SQL injection
    Crítica · 9.8 CVE-2023-22727 >= 4.2.0, < 4.2.12, >= 4.3.0, < 4.3.11, >= 4.4.0, < 4.4.10 4.2.12, 4.3.11, 4.4.10
  7. CakePHP allows method override parameters to bypass CSRF checks
    Alta · 8.8 CVE-2020-35239 >= 4.0.0, < 4.0.10, >= 4.1.0, < 4.1.4 4.0.10, 4.1.4
  8. CakePHP allows remote attackers to modify internal Cake cache and execute arbitrary code
    Alta CVE-2010-4335 >= 1.2.8, < 1.3.6 1.3.6
  9. CakePHPallows remote attackers to read arbitrary files via XML data containing external entity references
    Alta · 7.5 CVE-2012-4399 >= 2.1.0-alpha, < 2.1.5, >= 2.2.0-beta, < 2.2.1 2.1.5, 2.2.1
  10. CakePHP might allow remote attackers to bypass CSRF protection mechanism via the _method parameter
    Alta · 8.8 CVE-2015-8379 >= 2.0.0-alpha, < 3.1.5 3.1.5
  11. CakePHP allows remote attackers to spoof their IP
    Alta · 7.5 CVE-2016-4793 >= 1.2.0, < 2.6.13, >= 2.7.0-rc1, < 2.7.11, >= 2.8.0-rc1, < 2.8.2, >= 3.0.0-rc1, < 3.0.17, >= 3.1.0-beta1, < 3.1.12, >= 3.2.0-rc1, < 3.2.5 2.6.13, 2.7.11, 2.8.2, 3.0.17, 3.1.12, 3.2.5
  12. Unsafe deserialization in SmtpTransport in CakePHP
    Alta · 7.5 CVE-2019-11458 >= 3.0.0, < 3.5.18, >= 3.6.0, < 3.6.15, >= 3.7.0, < 3.7.7 3.5.18, 3.6.15, 3.7.7

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.