CVE-2026-106512

Metoda CakeResponse::download() w lib/Cake/Network/CakeResponse.php konstruuje nagłówek Content-Disposition poprzez bezpośrednią interpolację nazwy pliku dostarczonej przez wywołującego na wartość w postaci cudzysłowu bez oczyszczania. W niezałatanym kodzie istnieją dwa różne wektory wstrzykiwania. Po pierwsze, jeśli nazwa pliku zawiera znaki kontrolne C0 (CR lub LF), PHP odmawia emisji całego nagłówka Content-Disposition, po cichu usuwając dyspozycję załącznika. Treść odpowiedzi jest następnie wyświetlana z własnym typem zawartości (na przykład tekst/html dla załącznika .html) i renderowana w przeglądarce w źródle aplikacji, tworząc przechowywany warunek skryptu między witrynami. Komunikat zatwierdzenia informuje, że jest to osiągalne nawet wtedy, gdy włączone jest ustawienie download_attachments_on_load, co oznacza, że ​​ofiara musi jedynie wyświetlić stronę, która uruchamia pobieranie. Po drugie, cudzysłów w nazwie pliku wcześniej kończy wartość ciągu w cudzysłowie, umożliwiając wstrzyknięcie dodatkowych parametrów rozmieszczenia treści. Ścieżka kodu, której dotyczy problem, obejmuje wszystkie funkcje wywołujące CakeResponse::download(), w tym pobieranie atrybutów, pobieranie propozycji i eksporty restSearch. Uwierzytelniony użytkownik, który może utworzyć lub przesłać załącznik ze spreparowaną nazwą pliku (na przykład poprzez nazewnictwo atrybutów MISP lub nazewnictwo załączników do propozycji), może przechowywać złośliwą nazwę pliku. Kiedy inny uwierzytelniony użytkownik przegląda stronę, której dotyczy problem, nieoczyszczona nazwa pliku jest odzwierciedlana w nagłówku odpowiedzi HTTP, co powoduje manipulację nagłówkiem i potencjalne wykonanie dowolnego kodu HTML lub JavaScript w kontekście pochodzenia aplikacji. Wpływ na bezpieczeństwo jest porównywalny z przechowywaną luką w zabezpieczeniach typu cross-site scripting, umożliwiającą przejmowanie sesji, eksfiltrację danych i nieautoryzowane działania w imieniu ofiary.