CVE-2026-2165: Detronetdip E-commerce 1.0.0: falta de autenticação na criação de contas

Visão geral

O CVE-2026-2165 afeta um endpoint de criação de contas na área administrativa do Detronetdip E-commerce 1.0.0. A fraqueza é classificada como CWE-306 (Missing Authentication for Critical Function). O registro informa que a função pode ser acessada remotamente, e o projeto foi informado por meio de uma issue, sem resposta até o momento.

Impacto

O vetor CVSS 3.1 atribuído pelo NVD classifica os impactos de confidencialidade, integridade e disponibilidade como altos, sem necessidade de privilégios ou interação do usuário.
A ausência de verificação de autenticação na criação de contas pode permitir que uma parte remota não autenticada crie contas. O registro não confirma quais privilégios essas contas receberiam, portanto a extensão do impacto é uma inferência.

Produtos e versões afetadas

Produto: Detronetdip E-commerce, versão 1.0.0 conforme listado no registro.
Componente: endpoint de criação de contas localizado em /Admin/assets/backend/seller/add_seller.php.
O registro não lista outras versões afetadas nem uma versão corrigida. A ausência de versão corrigida não significa que não exista correção; significa que nenhuma está documentada nas fontes consultadas.

Situação de exploração

O registro informa que um exploit foi disponibilizado ao público. A disponibilidade pública não equivale a exploração confirmada na natureza.
O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas.
A probabilidade EPSS é 0,00642 (cerca de 0,64 por cento), com percentil 0,49404.

Correção e mitigação

Nenhum patch do fabricante ou versão corrigida é identificado no registro. A única referência de mitigação listada é a issue do projeto #23.
Restrinja o acesso à área administrativa a redes confiáveis e confirme que a criação de contas exige autenticação tanto no servidor web quanto na aplicação.
Revise as contas existentes, especialmente contas de vendedor ou administrador criadas recentemente, em busca de registros inesperados.
Se a aplicação não for essencial, retire-a da exposição à internet até que uma correção seja confirmada.
Acompanhe o repositório do projeto para atualizações.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições a caminhos administrativos do diretório afetado vindas de origens inesperadas, sobretudo pedidos de criação de conta sem sessão autenticada prévia.
Audite as tabelas de usuários em busca de novas contas de vendedor ou administrador cujos horários de criação não correspondam a integrações conhecidas.
Gere alertas quando a criação de contas for bem-sucedida a partir de endereços externos.

Limitações das informações disponíveis

O registro não fornece versão corrigida, aviso oficial do fabricante nem detalhes sobre os privilégios concedidos às contas criadas.
O registro traz pontuações CVSS diferentes da CNA (VulDB) nas versões 4.0, 3.1 e 2.0, além da pontuação 3.1 do NVD. Aqui se cita a pontuação do NVD.
O título do registro estava nulo; o título desta análise foi redigido pelo analista.
A data EPSS do registro (2026-10-13) é posterior à data de publicação (2026-02-08) e deve ser verificada antes de ser utilizada.

Perguntas frequentes

O que é o CVE-2026-2165?

É uma fraqueza de falta de autenticação (CWE-306) em um endpoint de criação de contas do Detronetdip E-commerce 1.0.0, conforme descrito no registro.

Esta vulnerabilidade está sendo explorada ativamente?

O registro informa que existe um exploit público, mas não consta no catálogo KEV da CISA e não há exploração ativa confirmada nas fontes consultadas.

Existe uma versão corrigida?

Nenhuma versão corrigida é identificada no registro. A única referência de mitigação é a issue do projeto, e segundo o registro o fabricante ainda não respondeu.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.