CVE-2026-77635
CVE-2026-77635 · CakePHP: FunctionsBuilder::jsonValue() vulerable to SQL injection with PostgresDriver
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
CakePHP is a rapid development framework for PHP. Prior to versions 5.1.10, 5.2.15, and 5.3.7 on their respective release lines, FunctionsBuilder::jsonValue() with PostgresDriver is vulnerable to SQL injection when user-controlled data is supplied to the jsonPath parameter. This issue is fixed in versions 5.1.10, 5.2.15, and 5.3.7.
CVSS 9.2 · Crítica · EPSS 0,5% · Código de explotación público · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · php
Productos y versiones afectados
cakephp
- Versiones
- >= 5.1.0, < 5.1.10: Afectada
- >= 5.2.0, < 5.2.15: Afectada
- >= 5.3.0, < 5.3.7: Afectada
Sin corrección publicada
cakephp/database
- Versiones
- >= 5.1.0, < 5.1.10: Afectada
- >= 5.2.0, < 5.2.15: Afectada
- >= 5.3.0, < 5.3.7: Afectada
Sin corrección publicada
cakephp Debian:11
- Versiones
- 2.10.11-2.1
- 2.10.24-1
- 2.10.24-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
cakephp/cakephp Packagist
- Versiones
- 5.3.0
- 5.3.1
- 5.3.2
- 5.3.3
- 5.3.4
- 5.3.5
- 5.3.6
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 5.3.0, < 5.3.7
Actualiza a 5.3.7
cakephp/cakephp Packagist
- Versiones
- 5.2.0
- 5.2.1
- 5.2.10
- 5.2.11
- 5.2.12
- 5.2.13
- 5.2.14
- 5.2.2
- 5.2.3
- 5.2.4
- 5.2.5
- 5.2.6
- 5.2.7
- 5.2.8
- 5.2.9
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 5.2.0, < 5.2.15
Actualiza a 5.2.15
cakephp/cakephp Packagist
- Versiones
- 5.1.0
- 5.1.1
- 5.1.2
- 5.1.4
- 5.1.5
- 5.1.6
- 5.1.7
- 5.1.8
- 5.1.9
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 5.1.0, < 5.1.10
Actualiza a 5.1.10
cakephp/database Packagist
- Versiones
- 5.3.0
- 5.3.2
- 5.3.3
- 5.3.4
- 5.3.5
- 5.3.6
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 5.3.0, < 5.3.7
Actualiza a 5.3.7
cakephp/database Packagist
- Versiones
- 5.2.0
- 5.2.1
- 5.2.10
- 5.2.11
- 5.2.12
- 5.2.13
- 5.2.14
- 5.2.2
- 5.2.3
- 5.2.4
- 5.2.5
- 5.2.6
- 5.2.7
- 5.2.8
- 5.2.9
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 5.2.0, < 5.2.15
Actualiza a 5.2.15
cakephp/database Packagist
- Versiones
- 5.1.0
- 5.1.1
- 5.1.2
- 5.1.4
- 5.1.5
- 5.1.6
- 5.1.8
- 5.1.9
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 5.1.0, < 5.1.10
Actualiza a 5.1.10
cakephp Ubuntu:16.04:LTS
- Versiones
- 2.7.2-1
- 2.8.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
cakephp Ubuntu:20.04:LTS
- Versiones
- 2.10.11-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
cakephp Ubuntu:22.04:LTS
- Versiones
- 2.10.11-2.1
- 2.10.24-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
Fuentes originales
- https://github.com/cakephp/cakephp/security/advisories/GHSA-fxf7-vhh8-7vpq
- https://github.com/cakephp/cakephp/commit/138f2f61486532c29ee4d106da2a9848c1ff1ab3
- https://github.com/cakephp/cakephp/commit/489a40fb7c6e597af33fe0f7264047afccb90d55
- https://github.com/cakephp/cakephp/commit/9f1ad970a3b72293d4a37e694276645f804e819f
- https://github.com/cakephp/cakephp/releases/tag/5.1.10
- https://github.com/cakephp/cakephp/releases/tag/5.2.15
- https://github.com/cakephp/cakephp/releases/tag/5.3.7
- https://nvd.nist.gov/vuln/detail/CVE-2026-77635