CVE-2026-25233: Falha de Lógica na Autorização de Roadmaps do PEAR Pearweb

Visão geral

O PEAR é um framework e sistema de distribuição para componentes PHP reutilizáveis. A CVE-2026-25233 descreve um erro de lógica na verificação de papel que controla os roadmaps da aplicação Pearweb. Segundo o registro, usuários que não são mantenedores líderes podem criar, alterar ou excluir roadmaps nas versões afetadas. O problema foi corrigido na versão 1.33.0.

Impacto

O registro descreve perda de integridade do conteúdo dos roadmaps, já que usuários não autorizados podem modificar ou remover esses conteúdos. O vetor CVSS 3.1 do NVD é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H, com pontuação base de 9.1. Esse vetor indica acesso pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto na integridade e na disponibilidade e sem impacto na confidencialidade. O CNA do GitHub informa pontuação CVSS 4.0 de 7.1.

Produtos e versões afetadas

• Produto: Pear Pearweb
• Faixa afetada: versões anteriores à 1.33.0 (menores que 1.33.0)
• Versão corrigida: 1.33.0, conforme a descrição do registro

O registro não traz uma lista estruturada de correções, por isso a versão corrigida foi extraída do texto da descrição.

Status de exploração

A CVE não aparece como listada no catálogo KEV da CISA neste registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O status de exploração deve ser reavaliado com inteligência de ameaças atualizada.

Correção e mitigação

• Atualize o Pearweb para a versão 1.33.0 ou superior, que, segundo o registro, contém a correção.
• Revise a lista de usuários com papel de mantenedor líder ou mantenedor e confirme que alterações nos roadmaps correspondem a atividades autorizadas.
• Consulte o aviso do fornecedor para orientações adicionais sobre o processo de atualização e compatibilidade.

Orientações de detecção

• Analise os registros da aplicação e trilhas de auditoria em busca de criações, alterações ou exclusões de roadmaps feitas por contas que não são mantenedores líderes.
• Compare o conteúdo atual dos roadmaps com versões conhecidas como íntegras ou com backups para identificar mudanças inesperadas.
• Monitore atividades incomuns em roadmaps em instâncias que tenham executado versão anterior à 1.33.0.

Limitações das informações disponíveis

O registro não fornece pontuação EPSS, avaliação SSVC nem o nome do CWE, embora indique o CWE-783. Ele não descreve o trecho exato do código responsável pela falha, os papéis específicos envolvidos além do que consta na descrição, nem as condições de implantação em que o problema é alcançável. Também não inclui CPE do produto nem lista de commits de correção. Essas lacunas significam que o alcance do impacto em cada implantação não pode ser totalmente confirmado com os dados disponíveis.

Perguntas frequentes

O que a CVE-2026-25233 permite?

Segundo o registro, usuários que não são mantenedores líderes podem criar, alterar ou excluir roadmaps nas versões do PEAR Pearweb anteriores à 1.33.0.

Qual versão corrige o problema?

A descrição do registro informa que o problema foi corrigido na versão 1.33.0. A lista estruturada de correções do registro está vazia, então a descrição é a fonte dessa versão.

Há exploração ativa conhecida desta vulnerabilidade?

O registro indica que a CVE não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Qual é a pontuação de severidade?

O NVD informa pontuação base CVSS 3.1 de 9.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H. O CNA do GitHub informa pontuação CVSS 4.0 de 7.1.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.