CVE-2026-54713
Publiée le 2026-08-27 · Dernière modification le 2026-08-28
Les applications utilisant les versions 0.1.11 à 2.3.1 de CakePHP Queue sont vulnérables à un défaut de collision de tâches. Un attaquant distant non authentifié capable d'influencer les paramètres d'une tâche peut déclencher un identifiant en double, entraînant la suppression de tâches légitimes par le système. Comme cela nécessite une combinaison spécifique de valeurs de paramètres pour provoquer une collision, l'exécution de cette faille est relativement difficile.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
CakePHP Queue is a queue-interop compatible queueing library. From 0.1.11 until 2.3.1, QueueManager::getUniqueId() generates identifiers for jobs with shouldBeUnique enabled from the job class, method, and parameters, but sorting parameter values drops associative-array keys. An unauthenticated attacker who can influence job parameters can submit semantically different data that produces the same identifier, resulting in legitimate jobs dropped as duplicate collisions. This issue is fixed in version 2.3.1.