CVE-2026-41460: Injeção de SQL no endpoint activity/index/get-memberall do SocialEngine
As versões do SocialEngine até a 7.8.0 inclusive contêm uma falha de injeção de SQL (CWE-89) no endpoint /activity/index/get-memberall, acessível sem autenticação pelo parâmetro text. Segundo o registro, a falha poderia expor dados do banco, permitir a redefinição de senhas de administradores e conceder acesso ao Packages Manager, com potencial para execução remota de código. A pontuação base CVSS é 9,8 (crítica), a CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Visão geral
As versões do SocialEngine até a 7.8.0 inclusive são afetadas por uma fraqueza de injeção de SQL classificada como CWE-89 no endpoint /activity/index/get-memberall. O registro informa que o parâmetro text é incorporado a uma consulta SQL sem sanitização. A VulnCheck, CNA responsável, classifica o problema como crítico.
Impacto
- Segundo o registro, um atacante remoto e não autenticado poderia ler dados arbitrários do banco de dados.
- O registro indica que a falha poderia ser usada para redefinir senhas de contas de administrador.
- Ela poderia conceder acesso não autorizado ao Packages Manager no Painel Administrativo, o que o registro associa a uma possível execução remota de código.
- A pontuação base CVSS 3.1 é 9,8 (crítica), com vetor indicando acesso pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário.
Produtos e versões afetados
- Produto: SocialEngine (listado no registro como Socialengine Socialengine).
- Intervalo: até a versão 7.8.0 inclusive, conforme escrito no registro.
- O registro não enumera individualmente as versões anteriores, portanto o limite inferior exato é desconhecido.
Status de exploração
- A CVE não consta no catálogo KEV da CISA no registro, portanto não há exploração ativa confirmada atribuída por esse catálogo.
- Não há exploração confirmada nas fontes consultadas.
- O campo de exploração SSVC está registrado como prova de conceito e o campo automatizável como sim.
- A probabilidade EPSS é 0,01014, com percentil de 0,62942.
- A lista de referências inclui uma entrada marcada como exploit; seu conteúdo não foi analisado para este resumo.
Correção e mitigação
- O registro não contém versão corrigida. Consulte o site do fabricante em socialengine.com para verificar uma atualização oficial e trate todas as instâncias na versão 7.8.0 ou anteriores como expostas até que uma correção seja confirmada.
- Quando possível, restrinja o acesso de rede ao endpoint afetado enquanto a correção está pendente. Trata-se de medida defensiva geral, não de recomendação do fabricante.
- Revise contas de administrador e redefinições de senha recentes, troque credenciais em caso de dúvida e audite alterações feitas pelo Packages Manager.
- Limite os privilégios da conta de banco de dados usada pela aplicação web ao estritamente necessário.
Orientações de detecção
- Revise logs do servidor web e da aplicação em busca de requisições ao endpoint afetado com valores incomuns ou malformados no parâmetro text, e de mensagens de erro de banco de dados devolvidas aos clientes.
- Monitore redefinições de senha de administradores inesperadas e pacotes novos ou alterados no Painel Administrativo.
- Correlacione esses sinais com logs de autenticação para identificar acessos que não tenham origem em administradores conhecidos.
Limitações das informações disponíveis
- Não há no registro versão corrigida, detalhes de patch nem aviso oficial do fabricante.
- O conjunto exato de versões anteriores a 7.8.0 afetadas não é especificado.
- Os detalhes vêm em grande parte de fontes de terceiros, incluindo o aviso da VulnCheck e o Karma Insecurity KIS-2026-08.
- Se a falha já foi usada em ataques reais é desconhecido além das fontes consultadas.
Perguntas frequentes
Esta falha do SocialEngine está sendo explorada ativamente?
Ela não consta no catálogo KEV da CISA no registro e não há exploração confirmada nas fontes consultadas. O registro menciona uma referência marcada como exploit e uma classificação de prova de conceito, por isso o monitoramento é recomendável.
Quais versões do SocialEngine são afetadas?
O registro lista o SocialEngine até a versão 7.8.0 inclusive. Não é informada uma versão corrigida.
O que os administradores devem fazer agora?
Confirme se utilizam a versão 7.8.0 ou anterior, consulte o fabricante por uma atualização oficial, limite a exposição do endpoint afetado quando possível e revise contas de administrador e a atividade do Packages Manager.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.