CVE-2026-40887: Injeção de SQL no Vendure Core na Shop API

Visão geral

O Vendure é uma plataforma de comércio headless de código aberto. O CVE-2026-40887 descreve uma injeção de SQL sem autenticação na Shop API, mapeada para o CWE-89. Um parâmetro de string de consulta controlado pelo usuário é colocado em uma expressão SQL bruta, sem parametrização ou validação.

Impacto

O aviso indica que um atacante poderia executar SQL arbitrário contra o banco de dados.
O registro informa que todos os backends de banco de dados suportados são afetados: PostgreSQL, MySQL/MariaDB e SQLite.
A pontuação atribuída pelo GitHub como CNA é CVSS 3.1 9.1, classificada como crítica, com alto impacto em confidencialidade e disponibilidade e sem impacto em integridade.

Produtos e versões afetados

Produto indicado no registro como Vendurehq Vendure.
Faixas afetadas no registro: da versão 1.7.4 até antes da 2.3.4; da versão 3.0.0 até antes da 3.5.7; da versão 3.6.0 até antes da 3.6.2.
A descrição informa que a Admin API também é afetada, mas a exploração nela exige autenticação.

Situação de exploração

O registro mostra que este CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O valor de exploração SSVC no registro é none, e a probabilidade EPSS é 0.02202.

Correção e mitigação

Atualize para 2.3.4, 3.5.7 ou 3.6.2, conforme a linha de release em uso.
Se a atualização imediata não for possível, o aviso descreve um hotfix que valida o código de idioma na fronteira da requisição, substituindo o método getLanguageCode do serviço de contexto de requisição. Valores inválidos passam a usar o idioma padrão do canal.
Teste o hotfix em ambiente não produtivo antes da implantação, já que o registro não informa se ele cobre todos os caminhos de injeção.
Limite a exposição pública de componentes administrativos e de acesso ao banco de dados, quando operacionalmente viável.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições à Shop API com valores incomuns ou malformados em parâmetros de idioma ou de consulta.
Monitore mensagens de erro de banco de dados que citem sintaxe SQL originada de requisições do front-end.
Observe aumentos inesperados de consultas ao banco ou padrões de acesso a dados associados à Shop API.

Limitações das informações disponíveis

A lista de correções do registro está vazia, mas a descrição identifica as versões corrigidas. Um campo vazio não significa que não exista correção.
O status da fonte no registro é Deferred.
Não há detalhes de exploração, indicadores de comprometimento ou material de prova de conceito nas fontes consultadas, e nenhum é reproduzido aqui.
A entrada EPSS tem data de 2026-10-13, posterior à data de publicação; a probabilidade deve ser interpretada com cautela.

Fontes: aviso de segurança no GitHub e entrada no NVD.

Perguntas frequentes

Quais versões do Vendure são afetadas pelo CVE-2026-40887?

O registro indica as faixas afetadas de 1.7.4 até antes de 2.3.4, de 3.0.0 até antes de 3.5.7 e de 3.6.0 até antes de 3.6.2. Compare a versão instalada com essas faixas.

Esta vulnerabilidade está sendo explorada na prática?

O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor de exploração SSVC é none.

O que fazer se não for possível atualizar imediatamente?

O aviso descreve um hotfix que valida o código de idioma na fronteira da requisição. Teste-o antes da implantação, pois o registro não confirma que ele cobre todos os caminhos de injeção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.