CVE-2026-25241: Injeção de SQL não autenticada no Pearweb (PEAR) via endpoint de versão de pacote
Versões do PEAR Pearweb anteriores à 1.33.0 contêm uma falha de injeção de SQL não autenticada (CWE-89) em um endpoint de pacotes que aceita um valor de versão. O registro informa que atacantes remotos podem executar SQL arbitrário, e o problema foi corrigido na 1.33.0. O CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O PEAR Pearweb, componente web do framework de pacotes PHP PEAR, apresenta uma falha de injeção de SQL (CWE-89) em um endpoint que trata versões de pacotes. O registro informa que as versões anteriores à 1.33.0 são afetadas e que o problema foi corrigido na 1.33.0.
Impacto
- A NVD classifica o problema com CVSS 3.1 de 9.8 (Crítico), com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve um ataque acessível pela rede, sem privilégios e sem interação do usuário.
- O GitHub informa pontuação CVSS 4.0 de 9.3 para o mesmo problema.
- O registro descreve execução de SQL arbitrário por atacantes remotos. O alcance prático depende das permissões do banco de dados usado pela aplicação, informação que o registro não detalha.
Produtos e versões afetadas
- Pear Pearweb: versões anteriores à 1.33.0.
- A lista estruturada de correções do registro está vazia, mas a descrição identifica a 1.33.0 como versão corrigida.
Status de exploração
O CVE não consta no catálogo de vulnerabilidades exploradas conhecidas (KEV) da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro não traz pontuação EPSS.
Correção e mitigação
- Atualize o Pearweb para a versão 1.33.0 ou superior, conforme indicado no aviso e na descrição.
- Quando a atualização imediata não for possível, limite a exposição pública do serviço afetado e revise os privilégios da conta de banco de dados usada pela aplicação para reduzir o impacto potencial. Trata-se de orientação defensiva geral, não de recomendação do fornecedor.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns ou malformadas para os endpoints de download de pacotes.
- Monitore os logs de erro do banco de dados em busca de erros de sintaxe originados nas consultas de pacotes.
- Compare as versões do Pearweb implantadas com a correção 1.33.0 para identificar instâncias expostas.
Limitações das informações disponíveis
- O registro não informa o limite inferior das versões afetadas, apenas o limite superior abaixo da 1.33.0.
- Não há dados EPSS, SSVC nem informações estruturadas de versões corrigidas.
- Medidas de contorno detalhadas não constam no registro. Consulte o aviso no GitHub e o registro na NVD para os detalhes mais recentes.
Perguntas frequentes
Quais versões do PEAR Pearweb são afetadas?
O registro informa que as versões anteriores à 1.33.0 são afetadas. O limite inferior do intervalo afetado não é informado.
Esta vulnerabilidade está sendo explorada ativamente?
O CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. O registro não traz pontuação EPSS.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.