CVE-2026-22582: Injeção de Argumento no MicrositeUrl do Salesforce Marketing Cloud Engagement

Visão geral

A Salesforce publicou um registro da CNA para a CVE-2026-22582, uma fragilidade de injeção de argumento (CWE-88) no módulo MicrositeUrl do Marketing Cloud Engagement. O registro situa a faixa afetada em versões anteriores a 2026-01-21.

Impacto

A CNA descreve o problema como algo que permite manipulação do protocolo de Web Services.
O registro informa pontuação CVSS 3.1 base de 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, fornecida pela CNA e pela CISA-ADP.
Com base nesse vetor, o ataque é alcançável pela rede, não exige privilégios nem interação do usuário e tem alto impacto em confidencialidade, integridade e disponibilidade (inferência a partir do vetor).

Produtos e versões afetados

Salesforce Marketing Cloud Engagement, anteriores a 2026-01-21.
O registro não contém versão corrigida. Isso não significa que não exista correção; consulte o aviso do fabricante.

Status de exploração

O registro mostra que a CVE não consta no catálogo KEV da CISA, portanto essa fonte não confirma exploração ativa.
O valor SSVC de exploração é none, e a probabilidade EPSS é 0.00647. Não aparece exploração confirmada nas fontes consultadas.

Correção e mitigação

Revise o aviso do fabricante da Salesforce para os passos de correção e para o status do seu ambiente do Marketing Cloud Engagement.
O Marketing Cloud Engagement é um serviço gerenciado pela Salesforce, então confirme com a empresa se a sua instância está coberta (inferência).
Como defesa em profundidade geral, restrinja quem pode acessar os endpoints de web services usados pelo módulo MicrositeUrl e monitore seu uso anômalo.

Orientação de detecção

Revise os logs de web services e integrações em busca de requisições com estrutura ou valores de parâmetros inesperados que cheguem à funcionalidade MicrositeUrl.
Gere alertas para picos de erros ou origens incomuns acessando esses endpoints.

Limitações das informações disponíveis

O registro não tem versão corrigida nem texto de aviso além do link de referência.
As condições técnicas exatas e o escopo completo do impacto não estão descritos no registro.
A data do EPSS no registro (2026-10-23) é posterior à data de publicação, então sua temporalidade deve ser verificada na fonte FIRST.

Perguntas frequentes

O que é a CVE-2026-22582?

É uma fragilidade de injeção de argumento (CWE-88) no módulo MicrositeUrl do Salesforce Marketing Cloud Engagement, conforme descrito no registro da CNA Salesforce.

Quais versões são afetadas?

O registro informa que versões anteriores a 2026-01-21 são afetadas. O registro não lista uma versão corrigida.

Há exploração conhecida desta vulnerabilidade?

O registro mostra que ela não consta no KEV da CISA e que o valor SSVC de exploração é none. Não aparece exploração confirmada nas fontes consultadas.

O que administradores devem fazer agora?

Revisar o aviso do fabricante, confirmar com a Salesforce se a sua instância está coberta e restringir e monitorar o acesso aos endpoints de web services afetados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.