CVE-2026-42773: eMagicOne Store Manager: SQL Injection cega

Visão geral

O CVE-2026-42773 descreve uma falha de SQL Injection cega (CWE-89) no eMagicOne Store Manager. O registro foi publicado em 25/05/2026 e o CNA é a Patchstack. A referência citada é uma entrada da base da Patchstack para um plugin WordPress chamado store-manager-connector, o que sugere que o componente afetado pode ser um plugin WordPress. Essa ligação com o WordPress é uma inferência a partir da URL.

Impacto

A pontuação do CNA é 9,3 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L. Segundo esse vetor, a falha é acessível pela rede com baixa complexidade, não exige privilégios nem interação do usuário, e tem alto impacto na confidencialidade, baixo na disponibilidade e nenhum na integridade. Em SQL Injection cega, um atacante costuma deduzir o conteúdo do banco a partir de respostas indiretas, por isso a exposição de dados armazenados é a principal preocupação.

Produtos e versões afetadas

A descrição indica que o produto é afetado desde um limite inferior não especificado até a versão 1.3.2. A lista estruturada de afetados no registro está vazia, portanto o conjunto exato de builds afetadas e o limite inferior são desconhecidos.

Status de exploração

O CVE não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas. O registro EPSS indica probabilidade de 0,004 com percentil de 0,324, datado de 2026-10-13. O EPSS é uma estimativa de modelo e não é evidência de exploração.

Correção e mitigação

• Inventarie todas as instalações do eMagicOne Store Manager e de plugins conectores relacionados, registrando suas versões.
• Verifique as entradas do fornecedor e da Patchstack por uma versão posterior à 1.3.2. O registro não informa versão corrigida.
• Enquanto a correção não for aplicada, restrinja o acesso às interfaces administrativas e de gestão. Validação de entrada e regras de firewall de aplicação web podem funcionar como controles compensatórios, mas não substituem a aplicação do patch.
• Confirme que as contas de banco de dados usadas pela aplicação seguem o princípio do menor privilégio.

Orientações de detecção

• Revise os logs do servidor web e da aplicação em busca de valores de parâmetros incomuns ou padrões anormais de requisição nos endpoints de gestão da loja.
• Monitore os logs do banco de dados em busca de erros ou comportamentos inesperados de consulta originados da conta da aplicação.
• Gere alertas para alterações inesperadas na configuração da aplicação ou nos dados armazenados.

Limitações das informações disponíveis

O registro não traz versão corrigida, faixa estruturada de versões afetadas, texto de aviso do fornecedor além da descrição curta, nem dados de exploração além da ausência no KEV e dos dados EPSS. A ligação com o WordPress é inferida de uma URL e não é confirmada pela descrição. A confirmação pelo fornecedor é desconhecida.

Perguntas frequentes

A CVE-2026-42773 está sendo explorada ativamente?

O CVE não consta no catálogo KEV da CISA e não há exploração ativa confirmada nas fontes consultadas. O EPSS indica probabilidade de 0,004 baseada em modelo, o que não comprova exploração.

Quais versões são afetadas?

A descrição indica afetação até a versão 1.3.2, sem limite inferior declarado. A lista estruturada de afetados está vazia, então a faixa exata é desconhecida.

Há uma versão corrigida?

O registro não informa versão corrigida. Isso não significa que não exista correção, por isso verifique o aviso do fornecedor e a entrada da Patchstack.

O que os administradores devem fazer agora?

Inventariar as instalações, restringir o acesso às interfaces de gestão, aplicar o menor privilégio às contas de banco e monitorar logs até a publicação de uma correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.