CVE-2026-25240: Injeção de SQL no PEAR Pearweb em user::maintains() via filtro de funções
A CVE-2026-25240 é uma falha de injeção de SQL no projeto PEAR Pearweb, que afeta versões anteriores à 1.33.0. O problema ocorre em user::maintains() quando filtros de funções são enviados como array e inseridos em uma cláusula IN. O registro indica que a correção está na versão 1.33.0, e a NVD classifica a severidade como 9.8 pelo CVSS 3.1.
Visão geral
O PEAR é um framework e sistema de distribuição de componentes PHP reutilizáveis. De acordo com o aviso do fornecedor e o registro CVE, o projeto Pearweb apresenta uma falha de injeção de SQL em user::maintains() quando filtros de funções são enviados como array e inseridos em uma cláusula IN. O registro indica que a correção está disponível na versão 1.33.0.
Impacto
- A exploração bem-sucedida poderia permitir que um atacante influencie consultas ao banco de dados executadas pela função afetada.
- A NVD classifica a falha com pontuação 9.8 pelo CVSS 3.1, com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário, e alto impacto em confidencialidade, integridade e disponibilidade.
- O CNA do GitHub atribuiu pontuação 6.9 pelo CVSS 4.0.
Produtos e versões afetados
- Produto: Pear Pearweb.
- Versões afetadas: as anteriores à 1.33.0.
- Versão corrigida: 1.33.0, conforme a descrição do registro.
- O campo estruturado de correções no registro está vazio, portanto detalhes adicionais da correção não estão disponíveis nos dados revisados.
Status de exploração
Segundo o registro, esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Não há indicação de exploração ativa confirmada nas fontes consultadas nesta análise.
Correção e mitigação
- Atualize o Pearweb para a versão 1.33.0 ou superior.
- Consulte o aviso do fornecedor para orientações dos mantenedores.
- Caso a atualização não possa ser aplicada imediatamente, restrinja o acesso às funcionalidades de gestão de usuários a administradores de confiança e revise como os filtros de funções são tratados na camada da aplicação.
Orientações de detecção
- Analise os logs da aplicação web e do banco de dados em busca de parâmetros de filtro de funções incomuns ou malformados nas páginas de gestão de usuários.
- Monitore alterações inesperadas em contas de usuários ou atribuições de funções.
- Investigue erros de banco de dados que surgirem em resposta a requisições de gestão de usuários.
Limitações das informações disponíveis
As fontes não descrevem a alteração exata do código vulnerável, as configurações de implantação afetadas na prática nem dados de telemetria de exploração. A pontuação EPSS não está disponível no registro. Não é possível afirmar se versões anteriores ou forks fora do intervalo informado são afetados.
Perguntas frequentes
O que é a CVE-2026-25240?
É uma vulnerabilidade de injeção de SQL no PEAR Pearweb anterior à versão 1.33.0, que ocorre em user::maintains() quando filtros de funções são enviados como array em uma cláusula IN.
Qual versão corrige o problema?
Segundo a descrição do registro, o problema foi corrigido na versão 1.33.0. O campo estruturado de correções do registro está vazio.
Há registro de exploração desta vulnerabilidade?
O registro não a lista no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.