CVE-2026-54614
Publiée le 2026-08-26 · Dernière modification le 2026-08-29
Les applications CakePHP utilisant DebugKit (versions antérieures à 4.10.3 et 5.2.4) sont concernées si le mode debug est actif et que le nom d'hôte de l'attaquant est local ou figure sur une liste d'autorisation. Un attaquant authentifié disposant d'un accès réseau peut déclencher l'instanciation de classes d'application arbitraires, ce qui pourrait entraîner la fuite d'informations système internes limitées. Il s'agit d'une attaque de faible complexité qui ne nécessite pas l'interaction de l'utilisateur, mais exige que l'attaquant possède des identifiants valides et respecte certaines contraintes de réseau ou de configuration.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
DebugKit provides a debugging toolbar for CakePHP applications. Prior to 4.10.3 and 5.2.4, the DebugKit MailPreview feature in src/Controller/MailPreviewController.php accepts a route-controlled previewName value in findPreview and passes the resolved class from App::className() to constructor execution without rejecting namespace separators or verifying that the class extends DebugKit\Mailer\MailPreview. An attacker able to access DebugKit while debug mode is enabled and the request hostname is local or allowlisted can select an unintended application class through the mail-preview preview route, resulting in arbitrary constructor execution and limited disclosure of application information. This issue is fixed in versions 4.10.3 and 5.2.4.