CVE-2026-106512

Nome do Software Vulnerável e Versões Afetadas CakePHP (versões afetadas não especificadas)

Descrição A função CakeResponse::download() em lib/Cake/Network/CakeResponse.php não sanitiza nomes de arquivos fornecidos pelo usuário ao construir o cabeçalho Content-Disposition. Isso gera dois vetores de injeção: o uso de caracteres de controle C0 (CR ou LF) pode fazer com que o PHP descarte o cabeçalho Content-Disposition, resultando na renderização do corpo da resposta diretamente no navegador, e o uso de aspas duplas pode encerrar prematuramente o valor da string citada para injetar parâmetros de cabeçalho adicionais. Um usuário autenticado pode fazer o upload de um anexo com um nome de arquivo manipulado que, ao ser visualizado por outro usuário autenticado, permite a manipulação de cabeçalhos e a execução de HTML ou JavaScript arbitrário. Esta condição possibilita o cross-site scripting armazenado, que pode levar ao sequestro de sessão, exfiltração de dados e ações não autorizadas.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.