CakePHPの脆弱性情報一覧｜影響バージョンと修正版・該当条件

CakePHPの脆弱性情報一覧【2026年10月更新】

2026/10/21

CakePHPの脆弱性情報をまとめました。

お使いのCakePHPのバージョンが分からない場合は、先にCakePHPのバージョンを確認する方法をご覧ください。

「該当する条件」は、お使いのシステムが実際に影響を受けるかどうかの目安です。

脆弱性情報	深刻度	該当する条件	影響を受けるバージョン	修正されたバージョン
CVE-2026-79752 データベース関数でのSQLインジェクション	High	`cast()` ・ `extract()` ・ `datePart()` ・ `dateAdd()` で、型名や日付の単位に利用者の入力を使っている	4.5.12 未満 4.6.0 ～ 4.6.4 5.0.0 ～ 5.1.8 5.2.0 ～ 5.2.13 5.3.0 ～ 5.3.6	4.5.12 4.6.5 5.1.9 5.2.14 5.3.7
CVE-2026-77635 `jsonValue()` でのSQLインジェクション	High	PostgreSQLを使っていて、`jsonValue()` のJSONパスに利用者の入力を使っている	5.1.0 ～ 5.1.9 5.2.0 ～ 5.2.14 5.3.0 ～ 5.3.6	5.1.10 5.2.15 5.3.7
CVE-2026-77634 メール送信時のヘッダーインジェクション	Moderate	`setHeaders()` ・ `addHeaders()` で、メールヘッダーの値に利用者の入力を使っている	4.5.0 ～ 4.5.11 4.6.0 ～ 4.6.4 5.0.0 ～ 5.1.8 5.2.0 ～ 5.2.13 5.3.0 ～ 5.3.6	4.5.12 4.6.5 5.1.9 5.2.14 5.3.7
CVE-2026-48820 エレメント名を経由したパストラバーサル	Moderate （CVSS 6.3）	`element()` に渡すエレメント名を、利用者の入力から組み立てている	4.5.11 未満 4.6.0 ～ 4.6.3 5.0.0 ～ 5.1.6 5.2.0 ～ 5.2.12 5.3.0 ～ 5.3.5	4.5.11 4.6.4 5.1.7 5.2.13 5.3.6
CVE-2026-23643 `limitControl()` でのXSS	Moderate （CVSS 5.4）	ページ送りの表示件数の切り替え（`limitControl()`）を使っている	5.2.10 ～ 5.2.11 5.3.0	5.2.12 5.3.1
CVE-2023-22727 `limit()` ・ `offset()` でのSQLインジェクション	Moderate	`limit()` ・ `offset()` に、リクエストの値を検証せずに渡している	4.2.0 ～ 4.2.11 4.3.0 ～ 4.3.10 4.4.0 ～ 4.4.9	4.2.12 4.3.11 4.4.10

※深刻度は公式アドバイザリの区分です。High は「重要」、Moderate は「警告」に相当します。CVSSスコアは公開されているものだけ併記しています。
※「該当する条件」は、各アドバイザリの記載をもとにしています。条件に当てはまらなければ、ただちに影響を受ける状態ではありません。ただし、当てはまるかどうかはソースコードを読まないと判断できないため、まずはバージョンを上げるのが確実です。
※上位3件（2026年8月21日・27日公開）は、7月に公開済みの修正版に含まれていた内容が、後日あらためて公表されたものです。5.3.7 ／ 5.2.15 をお使いであれば、いずれも対応済みです。
※2026年10月16日時点で確認できた内容です。公開されているすべての脆弱性を網羅しているわけではありません。