CVE-2026-77928

Nome do Software Vulnerável e Versões Afetadas ClipBucket versões anteriores a 5.5.3-#182

Descrição Usuários autenticados podem extrair conteúdos arbitrários do banco de dados, incluindo hashes de credenciais de usuário e endereços de e-mail, por meio de uma injeção SQL cega baseada em tempo. Isso ocorre quando o parâmetro msg id é enviado como um array para ignorar a função de sanitização clean requests() em ClipBucket.class.php. Os elementos do array não sanitizados são passados através do manipulador de exclusão em 'private message.php' para a função cb pm::delete msg(), que interpola o ID da mensagem não escapado diretamente em uma string de consulta SQL.

Recomendações Atualize o ClipBucket para a versão 5.5.3-#182 ou posterior. Como mitigação temporária, restrinja o acesso ao manipulador 'private message.php' ou evite usar o parâmetro msg id até que a atualização seja aplicada.