CVE-2026-25234: PEAR Pearweb: injeção de SQL na exclusão de categorias
Versões do PEAR Pearweb anteriores à 1.33.0 contêm uma falha de injeção de SQL na exclusão de categorias, em que o id de uma categoria pode ser usado para injetar SQL. O registro informa que o problema foi corrigido na 1.33.0, e a NVD o classifica como Crítico, com pontuação CVSS 3.1 de 9.8. Não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-25234 é uma falha de injeção de SQL (CWE-89) no recurso de exclusão de categorias do Pearweb, a aplicação web associada ao framework e sistema de distribuição PEAR. Segundo o registro, um atacante com acesso ao fluxo de gerenciamento de categorias pode injetar SQL por meio de um id de categoria. O problema é informado como corrigido na versão 1.33.0.
Impacto
A NVD indica pontuação CVSS 3.1 base de 9.8 (Crítico), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. O registro da CNA do GitHub indica pontuação CVSS 4.0 de 5.3. O registro não descreve quais dados poderiam ser lidos ou alterados.
Produtos e versões afetadas
- Pear Pearweb: versões anteriores à 1.33.0, conforme listado no registro.
O campo estruturado de correções está vazio, mas a descrição afirma que o problema foi corrigido na 1.33.0. Considere a 1.33.0 como versão corrigida, conforme informado pelo registro.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA e que não há pontuação EPSS disponível. Não há exploração confirmada nas fontes consultadas para esta análise.
Correção e mitigação
- Atualize o Pearweb para a versão 1.33.0 ou superior, conforme a descrição e o aviso de segurança no GitHub.
- Enquanto a atualização não for aplicada, restrinja o acesso ao fluxo de gerenciamento de categorias a um pequeno grupo de administradores de confiança.
- Revise quais contas têm permissão de gerenciamento de categorias e remova as que não forem necessárias.
- Confirme a versão implantada após a correção e registre a mudança.
Orientações de detecção
- Revise os logs da aplicação web e do banco de dados em busca de requisições de exclusão de categorias com identificadores inesperados ou malformados.
- Observe erros de banco de dados gerados em operações com categorias, pois podem indicar tentativas de injeção.
- Mantenha trilhas de auditoria das ações administrativas e revise-as periodicamente.
Limitações das informações disponíveis
- O registro não descreve as condições exatas além do acesso ao fluxo de gerenciamento de categorias. O vetor indica que nenhum privilégio é exigido, o que deve ser conciliado com a descrição antes de presumir a pré-condição.
- A correção é informada apenas na descrição; a lista estruturada de correções está vazia.
- Não há pontuação EPSS e o KEV não lista a CVE, portanto a probabilidade de exploração não pode ser avaliada com essas fontes.
- O registro não informa se implantações fora do projeto pearweb oficial são afetadas.
- As pontuações CVSS 3.1 (9.8) e CVSS 4.0 (5.3) vêm de fornecedores diferentes e não são diretamente comparáveis.
Perguntas frequentes
Quais versões do PEAR Pearweb são afetadas pela CVE-2026-25234?
O registro lista como afetadas as versões do Pear Pearweb anteriores à 1.33.0. A descrição informa que o problema foi corrigido na versão 1.33.0.
A CVE-2026-25234 está sendo explorada ativamente?
O registro indica que a CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
O que os administradores devem fazer primeiro?
Atualize o Pearweb para a versão 1.33.0 ou superior e restrinja o acesso ao fluxo de gerenciamento de categorias a administradores de confiança até que a atualização seja aplicada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.