CVE-2026-40330: Injeção de SQL no Masa CMS via parâmetro sortDirection do beanFeed.cfc
O aviso GHSA-56cc-gxfr-hqp8 do GitHub descreve uma injeção de SQL crítica no componente beanFeed.cfc do Masa CMS, acionada pelo parâmetro sortDirection. O registro indica como afetadas as versões de 7.2.0 até 7.2.9, de 7.3.0 até 7.3.14, de 7.4.0 até 7.4.9 e de 7.5.0 até 7.5.2, com correções nas versões 7.2.10, 7.3.15, 7.4.10 e 7.5.3. A atualização para a versão corrigida de cada linha é a principal medida, e não há exploração confirmada nas fontes consultadas.
Visão geral
O Masa CMS é um sistema de gerenciamento de conteúdo de código aberto. O aviso de segurança GHSA-56cc-gxfr-hqp8, publicado no GitHub, descreve uma falha de injeção de SQL (CWE-89) no componente beanFeed.cfc, dentro da função getQuery. O valor do parâmetro sortDirection é incorporado diretamente em consultas SQL, sem sanitização nem parametrização.
Impacto
Segundo o registro, um atacante remoto e não autenticado poderia extrair informações sensíveis, modificar ou excluir registros do banco de dados ou, potencialmente, obter execução remota de código no servidor de banco de dados. O GitHub atribuiu pontuação base CVSS 4.0 de 9.3, classificada como crítica. O vetor indicado no registro reflete alcance pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto na confidencialidade, na integridade e na disponibilidade.
Produtos e versões afetadas
A descrição identifica como afetadas as seguintes faixas:
- Masa CMS de 7.2.0 até 7.2.9
- Masa CMS de 7.3.0 até 7.3.14
- Masa CMS de 7.4.0 até 7.4.9
- Masa CMS de 7.5.0 até 7.5.2
Os campos estruturados de produtos afetados e de correções do registro estão vazios, de modo que essas faixas vêm apenas da descrição textual.
Status de exploração
O registro indica que esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Não há exploração confirmada nas fontes consultadas. O registro EPSS apresenta probabilidade de 0.00658 e percentil de 0.50177, que estimam a probabilidade de exploração e não confirmam ataques.
Correção e mitigação
- Atualize para a versão corrigida da sua linha: 7.2.10, 7.3.15, 7.4.10 ou 7.5.3.
- Se não for possível atualizar imediatamente, a solução de contorno indicada no aviso é usar um firewall de aplicação web para bloquear ou restringir o acesso ao componente beanFeed.cfc, ou implantar regras que detectem padrões de injeção de SQL direcionados ao parâmetro sortDirection.
- Limite a exposição do CMS apenas às redes e usuários que precisam dele, e revise quais endpoints estão acessíveis pela internet.
- Após a correção, confirme a versão instalada e verifique se as regras de contorno estão ativas.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições ao beanFeed.cfc com valores incomuns ou malformados no parâmetro sortDirection.
- Monitore os logs do banco de dados em busca de erros de sintaxe ou padrões de consulta inesperados originados da conta usada pela aplicação.
- Gere alertas para alterações inesperadas em tabelas de conteúdo ou de dados que o CMS normalmente não modifica.
Limitações das informações disponíveis
- O registro não contém entradas estruturadas de produtos afetados ou corrigidos, por isso a cobertura de versões depende da descrição.
- O registro não informa se outras linhas fora das faixas listadas são afetadas ou corrigidas; essa informação é desconhecida.
- As fontes consultadas não incluem prova de conceito técnica nem cronograma detalhado do fornecedor.
- O status da fonte está marcado como Deferred, portanto as informações podem mudar conforme o aviso for atualizado.
Perguntas frequentes
Quais versões do Masa CMS têm correção para a CVE-2026-40330?
O registro indica correções nas versões 7.2.10, 7.3.15, 7.4.10 e 7.5.3. Aplique a correção que corresponde à linha instalada.
A CVE-2026-40330 consta como explorada na natureza?
O registro mostra que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.