CVE-2026-25238: PEAR Pearweb: injeção de SQL na exclusão de inscrições em bugs
As versões do PEAR Pearweb anteriores à 1.33.0 contêm uma falha de injeção de SQL na exclusão de inscrições em bugs, que pode ser acionada por um valor de e-mail elaborado. O NVD atribui pontuação 9,8 (crítica) pelo CVSS 3.1, e o registro informa que a correção está na versão 1.33.0. O registro não mostra inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-25238 afeta o PEAR Pearweb, a aplicação web associada ao framework e sistema de distribuição PEAR para componentes PHP reutilizáveis. De acordo com o registro, a função de exclusão de inscrições em bugs não trata adequadamente um valor de e-mail elaborado, o que leva a uma injeção de SQL (CWE-89).
Impacto
- O NVD atribui pontuação base CVSS 3.1 de 9,8 (crítica), com vetor de ataque pela rede, sem necessidade de privilégios nem de interação do usuário, e alto impacto na confidencialidade, integridade e disponibilidade.
- O registro da CNA do GitHub atribui pontuação CVSS 4.0 de 9,2 para o mesmo problema.
- Uma exploração bem-sucedida poderia permitir a leitura, alteração ou destruição de dados armazenados no banco de dados associado, considerando a natureza geral de injeções de SQL. Trata-se de inferência a partir da classificação CWE.
Produtos e versões afetadas
- Pear Pearweb em versões anteriores à 1.33.0 (listado como menor que 1.33.0).
- O registro informa que o problema foi corrigido na versão 1.33.0.
Status de exploração
- O catálogo KEV da CISA não lista esta CVE no registro (listed: false).
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise.
Correção e mitigação
- Atualize o Pearweb para a versão 1.33.0 ou superior, conforme informado no registro.
- Consulte o aviso de segurança do GitHub para orientações do fornecedor.
- Enquanto a atualização não for aplicada, limite a exposição pública das funcionalidades de inscrição em bugs e restrinja o acesso a usuários autenticados, quando possível.
- Valide e restrinja a entrada nas camadas da aplicação web e do proxy, como medida de defesa em profundidade.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns ou malformadas dirigidas aos endpoints de inscrição em bugs, especialmente com valores de e-mail inesperados.
- Monitore os logs do banco de dados em busca de erros de sintaxe SQL originados dessas requisições.
- Correlacione as anomalias com contas de usuário e endereços de origem para apoiar a triagem de incidentes.
Limitações das informações disponíveis
- O registro não traz uma lista estruturada de versões corrigidas; a correção na versão 1.33.0 consta apenas na descrição.
- O registro não identifica o caminho exato do endpoint nem o conjunto completo de implantações afetadas.
- Dados de EPSS e SSVC não constam no registro, portanto a probabilidade de exploração é desconhecida.
- As pontuações CVSS diferem entre o NVD (3.1) e o GitHub (4.0), e o registro não explica a diferença.
Perguntas frequentes
O que é a CVE-2026-25238?
É uma vulnerabilidade de injeção de SQL na função de exclusão de inscrições em bugs do PEAR Pearweb, acionada por um valor de e-mail elaborado, que afeta versões anteriores à 1.33.0.
Qual versão corrige o problema?
Segundo o registro, o problema foi corrigido na versão 1.33.0 do PEAR Pearweb. Os administradores devem atualizar para essa versão ou uma superior.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas nesta análise.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.