Zaloguj się
Deutsch English Español Polski
Średnia

CakePHP PaginatorHelper::limitControl() vulnerable to reflected cross-site-scripting

  • Ujawniono: 16.01.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

The PaginatorHelper::limitControl() method has a cross-site-scripting vulnerability via query string parameter manipulation.

Patches

This issue has been fixed in 5.2.12 and 5.3.1

Workarounds

If you are unable to upgrade, you should avoid using Paginator::limitControl() until you can upgrade.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer cakephp/cakephp >= 5.2.10, < 5.2.12, >= 5.3.0, < 5.3.1 5.2.12, 5.3.1

Odnośniki

Ocena CVSS 5.4/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
Słabość (CWE)
CWE-79
Platforma
Composer
Paczka
cakephp/cakephp
Ujawniono
16.01.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-qh8m-9qxx-53m5 - CC BY 4.0

Historia podatności: cakephp/cakephp

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (22) w archiwum
Wszystkich wpisów
22
Pierwsza → ostatnia
12.2019 09.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 3
  • Wysoka 8
  • Średnia 11

Ujawnienia w latach

Istotność:
  1. CakePHP: Multiple methods in FunctionsBuilder vulnerable to SQL injection
    Krytyczna CVE-2026-79752 < 4.5.12, >= 4.6.0, < 4.6.5, >= 5.0.0, < 5.1.9, >= 5.2.0, < 5.2.14, >= 5.3.0, < 5.3.7 4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7
  2. CakePHP: FunctionsBuilder::jsonValue() vulerable to SQL injection with PostgresDriver
    Krytyczna CVE-2026-77635 >= 5.3.0, < 5.3.7, >= 5.2.0, < 5.2.15, >= 5.1.0, < 5.1.10 5.3.7, 5.2.15, 5.1.10
  3. CakePHP: SmtpTransport vulnerable to CRLF header injection
    Wysoka CVE-2026-77634 >= 4.5.0, < 4.5.12, >= 4.6.0, < 4.6.5, >= 5.0.0, < 5.1.9, >= 5.2.0, < 5.2.14, >= 5.3.0, < 5.3.7 4.5.12, 4.6.5, 5.1.9, 5.2.14, 5.3.7
  4. CakePHP PaginatorHelper::limitControl() vulnerable to reflected cross-site-scripting ten wpis
    Średnia · 5.4 CVE-2026-23643 >= 5.2.10, < 5.2.12, >= 5.3.0, < 5.3.1 5.2.12, 5.3.1
  5. CakePHP vulnerable to Denial of Service attack through XML payloads
    Wysoka ghsa-q79m-c546-2g63 >= 3.0.0, < 3.0.6, >= 2.0.0, < 2.0.99, >= 2.1.0, < 2.1.99, >= 2.2.0, < 2.2.99, >= 2.3.0, < 2.3.99, >= 2.4.0, < 2.4.99, >= 2.5.0, < 2.5.90, >= 2.6.0, < 2.6.6 3.0.6, 2.0.99, 2.1.99, 2.2.99, 2.3.99, 2.4.99, 2.5.90, 2.6.6
  6. CakePHP Database\\Query::offset() and limit() methods are vulnerable to SQL injection
    Krytyczna · 9.8 CVE-2023-22727 >= 4.2.0, < 4.2.12, >= 4.3.0, < 4.3.11, >= 4.4.0, < 4.4.10 4.2.12, 4.3.11, 4.4.10
  7. CakePHP allows method override parameters to bypass CSRF checks
    Wysoka · 8.8 CVE-2020-35239 >= 4.0.0, < 4.0.10, >= 4.1.0, < 4.1.4 4.0.10, 4.1.4
  8. CakePHP allows remote attackers to modify internal Cake cache and execute arbitrary code
    Wysoka CVE-2010-4335 >= 1.2.8, < 1.3.6 1.3.6
  9. CakePHPallows remote attackers to read arbitrary files via XML data containing external entity references
    Wysoka · 7.5 CVE-2012-4399 >= 2.1.0-alpha, < 2.1.5, >= 2.2.0-beta, < 2.2.1 2.1.5, 2.2.1
  10. CakePHP might allow remote attackers to bypass CSRF protection mechanism via the _method parameter
    Wysoka · 8.8 CVE-2015-8379 >= 2.0.0-alpha, < 3.1.5 3.1.5
  11. CakePHP allows remote attackers to spoof their IP
    Wysoka · 7.5 CVE-2016-4793 >= 1.2.0, < 2.6.13, >= 2.7.0-rc1, < 2.7.11, >= 2.8.0-rc1, < 2.8.2, >= 3.0.0-rc1, < 3.0.17, >= 3.1.0-beta1, < 3.1.12, >= 3.2.0-rc1, < 3.2.5 2.6.13, 2.7.11, 2.8.2, 3.0.17, 3.1.12, 3.2.5
  12. Unsafe deserialization in SmtpTransport in CakePHP
    Wysoka · 7.5 CVE-2019-11458 >= 3.0.0, < 3.5.18, >= 3.6.0, < 3.6.15, >= 3.7.0, < 3.7.7 3.5.18, 3.6.15, 3.7.7

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.