CVE-2026-40331: Injeção de SQL no Masa CMS via parâmetro altTable da API JSON não autenticada
O Masa CMS apresenta uma injeção de SQL não autenticada no parâmetro altTable da API JSON, que é inserido em uma cláusula FROM sem validação. O registro classifica a falha como crítica, com pontuação CVSS 4.0 de 9.3 atribuída pelo CNA GitHub. As versões corrigidas indicadas são 7.2.10, 7.3.15, 7.4.10 e 7.5.3, e a solução provisória é validar a entrada ou desativar a API JSON.
Visão geral
O Masa CMS é um sistema de gerenciamento de conteúdo de código aberto. O aviso descreve uma injeção de SQL (CWE-89) em sua API JSON não autenticada. O parâmetro altTable é armazenado pelo método setAltTable() e inserido em uma cláusula FROM de SQL no arquivo feedGateway.cfc, sem validação ou sanitização.
Impacto
- De acordo com o aviso, um atacante remoto e não autenticado poderia ler dados de qualquer tabela do banco de dados em uma única requisição HTTP, incluindo credenciais administrativas e tokens de redefinição de senha.
- O vetor CVSS 4.0 indicado no registro aponta para vetor de ataque pela rede, sem privilégios exigidos, sem interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade. A pontuação de 9.3 é atribuída pelo CNA GitHub.
- Inferência: se credenciais ou tokens de redefinição forem expostos, a tomada de conta em instalações afetadas torna-se um risco concreto.
Produtos e versões afetadas
- Masa CMS 7.2.0 até 7.2.9
- Masa CMS 7.3.0 até 7.3.14
- Masa CMS 7.4.0 até 7.4.9
- Masa CMS 7.5.0 até 7.5.2
Os campos estruturados de afetados e correções do registro estão vazios, por isso essas faixas vêm do texto da descrição. Confirme-as no aviso do GitHub.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro informa probabilidade EPSS de 0.00536 e percentil de 0.43645.
Correção e mitigação
- Atualize para 7.2.10, 7.3.15, 7.4.10 ou 7.5.3, conforme a sua linha de versão.
- Se a atualização não puder ser feita imediatamente, o aviso sugere restringir a função setAltTable em core/mura/content/feed/feedBean.cfc a nomes de tabela alfanuméricos simples, ou desativar a API JSON caso ela não seja necessária.
- Limite a exposição da API JSON na borda da rede ou da aplicação, sempre que possível.
Orientações de detecção
- Analise os logs do servidor web e da aplicação em busca de requisições à API JSON que incluam o parâmetro altTable, sobretudo com valores incomuns ou erros repetidos.
- Revise os logs do banco de dados em busca de leituras inesperadas de dados de usuários ou tokens.
- Se houver suspeita de exposição, renovar senhas administrativas e invalidar tokens de redefinição pendentes é uma precaução razoável. Trata-se de inferência, não de orientação presente no registro.
Limitações das informações disponíveis
- O registro não tem dados estruturados de versões afetadas ou corrigidas, portanto as informações de versão vêm da descrição.
- Conteúdo dos patches, prevalência de exploração e eventual impacto em versões anteriores não são cobertos pelas fontes consultadas.
- A data EPSS do registro (2026-10-13) é posterior à data de publicação e deve ser verificada.
- O status da fonte consta como Deferred. Consulte o aviso do fornecedor para orientações de correção atualizadas.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
O registro não lista esta CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões contêm a correção?
O texto do aviso indica correções nas versões 7.2.10, 7.3.15, 7.4.10 e 7.5.3, para as respectivas linhas de versão.
O que fazer se a atualização não puder ser feita imediatamente?
O aviso sugere restringir a entrada da função setAltTable a nomes de tabela simples, ou desativar a API JSON caso ela não seja necessária.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.