CVE-2026-25236: Injeção de SQL em consultas de karma do PEAR Pearweb
A CVE-2026-25236 afeta o componente Pearweb do sistema de framework e distribuição de componentes PHP PEAR. Antes da versão 1.33.0, as consultas de karma realizam substituição literal insegura em uma lista IN (...), o que cria risco de injeção de SQL. O problema é descrito como corrigido na versão 1.33.0, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-25236 é uma fraqueza de injeção de SQL (CWE-89) no Pearweb, a aplicação web por trás do ecossistema PEAR de componentes PHP reutilizáveis. Segundo o registro, as consultas de karma inserem valores literais em uma lista IN (...) de forma insegura. A vulnerabilidade é descrita como corrigida na versão 1.33.0.
Impacto
- O registro do NVD atribui pontuação 9.8 (Crítica) no CVSS 3.1, com alto impacto em confidencialidade, integridade e disponibilidade, sem exigência de privilégios ou interação do usuário.
- A avaliação do CNA do GitHub presente no registro indica pontuação 6.9 no CVSS 4.0.
- O registro não descreve quais dados poderiam ser lidos ou alterados, portanto as consequências práticas permanecem desconhecidas.
Produtos e versões afetadas
- Produto: Pear Pearweb.
- Faixa afetada: versões anteriores à 1.33.0.
- Versão corrigida: 1.33.0, conforme indicado na descrição da vulnerabilidade.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize as instalações do Pearweb para a versão 1.33.0 ou posterior, conforme indicado pelo aviso.
- Consulte o aviso do fornecedor GHSA-95mc-p966-c29f para orientações do mantenedor.
- Quando a atualização imediata não for possível, restrinja o acesso às funções administrativas ou relacionadas a karma e aplique monitoramento de aplicações web, sem tratar isso como correção completa.
Orientações de detecção
- Revise os logs da aplicação web e do banco de dados em busca de erros de consulta incomuns ou entradas anômalas nas funcionalidades de karma.
- Monitore atividade inesperada no banco de dados originada da aplicação Pearweb.
Limitações das informações disponíveis
O registro não fornece os endpoints ou parâmetros exatos, nem os dados expostos. Não há pontuação EPSS, dados SSVC nem referência de commit de correção. A lista de correções está vazia, portanto a versão 1.33.0 é obtida da descrição e da referência do aviso do fornecedor.
Perguntas frequentes
Quais versões do Pearweb são afetadas pela CVE-2026-25236?
Segundo o registro, são afetadas as versões anteriores à 1.33.0.
Qual é a versão corrigida?
A descrição da vulnerabilidade indica que o problema foi corrigido na versão 1.33.0.
Esta vulnerabilidade está sendo explorada ativamente?
O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.