CVE-2026-22584: Vulnerabilidade de Injeção de Código no Salesforce Uni2TS
A CVE-2026-22584 é uma fragilidade de injeção de código (CWE-94) no Salesforce Uni2TS, descrita para macOS, Windows e Linux, afetando versões até 1.2.0. A CNA e o CISA ADP atribuem nota 9,8 (crítica) no CVSS 3.1, com vetor alcançável pela rede, sem privilégios e sem interação do usuário. O registro não mostra inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.
Visão geral
O registro da CVE descreve uma fragilidade de injeção de código (CWE-94) no Salesforce Uni2TS, que o registro indica para macOS, Windows e Linux. A descrição informa que o problema afeta o Uni2TS até a versão 1.2.0. A CNA é a Salesforce, e o registro aponta para um aviso do fornecedor.
Impacto
O vetor CVSS 3.1 fornecido pela CNA é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, com pontuação base de 9,8 (crítica). Conforme esse vetor, a falha é alcançável pela rede, não exige privilégios nem interação do usuário e tem alto impacto na confidencialidade, integridade e disponibilidade. O registro não descreve consequências concretas além dessa pontuação.
Produtos e versões afetados
- Produto indicado: Salesforce Uni2ts
- Intervalos indicados: antes de 2.0.0, e até 1.2.0
- O registro usa 1.2.0 e 2.0.0 como versões-limite.
Status de exploração
A entrada no catálogo KEV da CISA não consta no registro, e nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como none e automatizável como yes, o que descreve exposição e não ataques observados.
Correção e mitigação
- Identifique todas as instalações do Uni2TS em sistemas macOS, Windows e Linux e compare as versões com os intervalos acima.
- Consulte o aviso do fornecedor Salesforce, vinculado no registro, para a versão corrigida e as instruções de atualização. O próprio registro não informa uma correção.
- Se a atualização não for imediata, reduza a exposição do componente afetado e restrinja quem pode fornecer entradas a ele, seguindo a orientação do fornecedor.
Orientação para detecção
- Revise inventários e manifestos de software para localizar versões afetadas do Uni2TS.
- Monitore a criação inesperada de processos ou o carregamento de código originado dos componentes do Uni2TS.
- Acompanhe alterações em arquivos tratados pelo componente e investigue gravações incomuns ou conteúdo executável em tipos de arquivo não executáveis.
Limitações das informações disponíveis
O registro não tem entradas de correção, nem análise técnica detalhada, e possui apenas uma referência do fornecedor. A descrição é breve e não explica o caminho exato de entrada nem as pré-condições além do que o vetor CVSS implica. Os dados EPSS são incluídos como registrados, com data posterior à da publicação, por isso a temporalidade deve ser verificada.
Perguntas frequentes
O que é a CVE-2026-22584?
É uma fragilidade de injeção de código (CWE-94) no Salesforce Uni2TS, descrita para macOS, Windows e Linux e afetando versões até 1.2.0.
Qual a gravidade segundo o registro?
A CNA e o CISA ADP atribuem pontuação base CVSS 3.1 de 9,8, classificada como crítica, com vetor de rede e sem necessidade de privilégios ou interação do usuário.
Há exploração conhecida?
O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.