CVE-2026-3325: Injeção de SQL no parâmetro id_territorio do MegaCMS

Visão geral

A CVE-2026-3325 descreve uma fraqueza de injeção de SQL (CWE-89) no MegaCMS v12.0.0. A entrada afetada é o parâmetro id_territorio, enviado por requisição POST ao endpoint /web_comunications/cms/get_provincias. Segundo o registro, o parâmetro é usado logo após o envio do formulário de cadastro.

Impacto

O vetor CVSS 4.0 informado pela CNA indica impacto alto na confidencialidade, integridade e disponibilidade do sistema vulnerável, e impacto baixo na disponibilidade de sistemas subsequentes. O registro afirma que um atacante não autenticado poderia usar esse parâmetro para executar consultas SQL arbitrárias. As consequências práticas dependem das permissões do banco de dados e da implantação, que o registro não descreve.

Produtos e versões afetadas

• Produto: MegaCMS, versão 12.0.0 conforme declarado no registro.
• A lista de afetados do registro está vazia, portanto outras versões não podem ser confirmadas nem descartadas com os dados disponíveis.
• O registro não informa versão corrigida. A ausência de correção listada não significa que não exista correção; significa que as fontes consultadas não a fornecem.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto não se afirma exploração ativa aqui. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS registrada é 0,00453, com percentil de 0,37568.

Correção e mitigação

• Consulte o aviso oficial do INCIBE-CERT para orientações do fabricante ou mantenedor: aviso do INCIBE-CERT.
• Identifique todas as instalações do MegaCMS e confirme sua versão. Trate a versão 12.0.0 como em escopo até que o fabricante confirme o contrário.
• Restrinja ou proteja temporariamente o fluxo de cadastro e o endpoint afetado enquanto não houver correção, por exemplo limitando a exposição à internet.
• Garanta o uso de consultas parametrizadas e validação estrita de entrada em todos os campos de território e localização.
• Aplique o princípio do menor privilégio à conta de banco de dados usada pela aplicação.

Orientações de detecção

• Revise logs do servidor web e da aplicação em busca de requisições POST incomuns ao endpoint get_provincias, especialmente com valores anormais ou não numéricos em id_territorio.
• Monitore logs do banco de dados em busca de erros ou padrões de consulta inesperados originados da aplicação web.
• Considere regras de firewall de aplicação web que sinalizem metacaracteres SQL em parâmetros, entendendo que se trata de controle compensatório e não de correção.

Limitações das informações disponíveis

• O registro não informa faixa de versões afetadas além da 12.0.0, nem versão corrigida ou referência de patch do fabricante.
• O campo de título do registro está vazio; os títulos aqui foram derivados da descrição.
• O registro cita um aviso do INCIBE-CERT, mas seu conteúdo não estava disponível no registro, portanto detalhes além do registro são desconhecidos.
• A pontuação base CVSS 4.0 é fornecida pela CNA; não há outras pontuações CVSS no registro.

Perguntas frequentes

O que é a CVE-2026-3325?

É uma vulnerabilidade de injeção de SQL no MegaCMS v12.0.0, encontrada no parâmetro id_territorio do endpoint /web_comunications/cms/get_provincias.

Qual a gravidade segundo o registro?

A CNA INCIBE-CERT classifica como crítica, com pontuação base CVSS 4.0 de 10.

Há registro de exploração conhecida?

O catálogo KEV da CISA não a lista neste registro, e não há exploração confirmada nas fontes consultadas.

Qual versão corrige o problema?

O registro não informa versão corrigida. Consulte o aviso do INCIBE-CERT e o fabricante para atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.