CVE-2026-40329: Injeção de SQL no Masa CMS no parâmetro sortBy de beanFeed.cfc
As versões do Masa CMS 7.5.2 e anteriores apresentam uma falha de injeção de SQL no parâmetro sortBy processado pela função getQuery do componente beanFeed.cfc. Segundo o registro, um atacante remoto e não autenticado poderia executar comandos SQL arbitrários no banco de dados. As correções são indicadas nas versões 7.2.10, 7.3.15, 7.4.10 e 7.5.3, e há uma solução paliativa baseada em regras de WAF.
Visão geral
O Masa CMS é um sistema de gerenciamento de conteúdo de código aberto. Segundo o aviso de segurança no GitHub, as versões 7.5.2 e anteriores contêm uma falha de injeção de SQL no parâmetro sortBy tratado pela função getQuery do componente beanFeed.cfc. O registro classifica a fraqueza como CWE-89.
Impacto
O aviso descreve um atacante remoto e não autenticado capaz de executar comandos SQL arbitrários no banco de dados. O registro lista consequências potenciais, incluindo acesso a dados sensíveis, modificação ou exclusão de registros e escalonamento até o controle administrativo. O impacto real em cada ambiente depende das permissões e da configuração do banco de dados, que o registro não descreve.
- A pontuação base CVSS 4.0 informada pelo GitHub é 9,3, classificada como crítica.
- O vetor indica impacto alto na confidencialidade, integridade e disponibilidade.
Produtos e versões afetados
- Masa CMS 7.5.2 e anteriores, conforme o aviso.
- O registro não traz uma lista estruturada de versões afetadas, portanto a situação de releases mais antigos é desconhecida.
As versões corrigidas informadas são 7.2.10, 7.3.15, 7.4.10 e 7.5.3.
Status de exploração
O registro mostra que este CVE não consta no catálogo CISA KEV. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise. O registro informa probabilidade EPSS de 0,00511 e percentil de 0,41999.
Correção e mitigação
- Atualize para a versão corrigida da sua linha de lançamento: 7.2.10, 7.3.15, 7.4.10 ou 7.5.3, ou uma versão posterior.
- Se a atualização imediata não for possível, o aviso sugere regras de firewall de aplicação web que bloqueiem padrões maliciosos de SQL no parâmetro sortBy enviado ao beanFeed.cfc. O WAF é uma medida temporária e não substitui a correção.
- Revise os privilégios das contas de banco de dados usadas pela aplicação para limitar o efeito de eventuais injeções.
Orientações de detecção
- Analise os logs do servidor web e da aplicação em busca de requisições ao beanFeed.cfc com valores incomuns ou inesperados no parâmetro sortBy.
- Monitore os logs do banco de dados em busca de erros ou consultas que não correspondam ao comportamento normal da aplicação.
- Verifique alterações inesperadas em contas administrativas ou em conteúdos.
Limitações das informações disponíveis
O registro não inclui produtos afetados ou corrigidos além do Masa CMS, nem diferenças de correção ou detalhes de configuração específicos de fornecedor. As datas de publicação e do EPSS informadas no registro devem ser verificadas nas fontes oficiais. A alcançabilidade em cada ambiente depende de fatores que não são tratados aqui.
Perguntas frequentes
Este CVE está sendo explorado ativamente?
Não há exploração confirmada na natureza nas fontes consultadas. O registro indica que o CVE não consta no catálogo CISA KEV.
Quais versões são afetadas?
O aviso indica o Masa CMS 7.5.2 e anteriores. As versões corrigidas informadas são 7.2.10, 7.3.15, 7.4.10 e 7.5.3.
O que os administradores devem fazer primeiro?
Atualize para a versão corrigida da sua linha de lançamento. Se isso não for possível de imediato, aplique regras de WAF como solução temporária e monitore os logs.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.