CVE-2026-44377: CubeCart: SSTI autenticada em templates Smarty leva a RCE
A CVE-2026-44377 afeta versões do CubeCart anteriores à 6.7.0. Um administrador autenticado pode abusar de uma injeção de template no lado do servidor no motor Smarty para acessar dados sensíveis e executar código no servidor. A descrição informa que a falha está corrigida na 6.7.0, e o registro indica pontuação CVSS 3.1 de 9.1.
Visão geral
O CubeCart é uma plataforma de software para e-commerce. A CVE-2026-44377 descreve uma injeção de template no lado do servidor, autenticada, no motor de templates Smarty, acessível por meio de vários módulos, incluindo modelos de e-mail e documentos. O aviso do GitHub e o registro informam que a falha está corrigida na versão 6.7.0.
Impacto
- Divulgação de informações, já que arquivos de configuração sensíveis poderiam ser lidos por meio do motor de templates.
- Execução remota de código no servidor, conforme descrito no registro, que classifica a fraqueza como CWE-94 (Code Injection).
O registro indica pontuação base CVSS 3.1 de 9.1 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H. Na nossa análise, os privilégios altos exigidos e a mudança de escopo são os principais fatores que mantêm a pontuação elevada, apesar da necessidade de autenticação.
Produtos e versões afetados
- CubeCart versão 6 anterior à 6.7.0.
- Os campos estruturados do registro não trazem uma lista separada de versões corrigidas. A versão corrigida 6.7.0 foi obtida da descrição.
Status de exploração
A vulnerabilidade não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O campo SSVC do registro indica estágio de prova de conceito e está marcado como não automatizável. Esses campos são indicadores de risco e não confirmam ataques reais. A probabilidade EPSS no registro é 0,00956, com percentil de 0,60432.
Correção e mitigação
- Atualize o CubeCart para a versão 6.7.0 ou superior, seguindo o aviso do fornecedor.
- Restrinja contas administrativas a pessoal de confiança, aplique autenticação forte e revise a lista de usuários administradores.
- Revise alterações recentes em modelos de e-mail, documentos e outros templates personalizáveis em busca de conteúdo inesperado.
- Restrinja o acesso à interface administrativa sempre que for operacionalmente possível.
Orientações de detecção
- Analise os registros de atividade administrativa em busca de edições de templates ou alterações de configuração inesperadas.
- Procure arquivos PHP novos ou modificados recentemente em diretórios acessíveis pela web.
- Monitore os logs do servidor web em busca de atividade incomum nos recursos administrativos de templates.
Limitações das informações disponíveis
O registro não traz uma lista estruturada de versões corrigidas, detalhes do patch nem a lista exata de módulos afetados além dos citados na descrição. O commit de referência está listado, mas seu conteúdo não é resumido aqui. O status da fonte no registro é Deferred, então informações adicionais do CNA podem surgir depois.
Perguntas frequentes
Quais versões do CubeCart são afetadas pela CVE-2026-44377?
O registro indica o CubeCart versão 6 anterior à 6.7.0 como afetado. A descrição informa que a falha está corrigida na 6.7.0.
Esta CVE exige autenticação?
Sim. A descrição indica que o atacante precisa estar autenticado com privilégios administrativos, e o vetor CVSS mostra privilégios altos exigidos.
Esta CVE consta como explorada ativamente?
Não. O campo KEV da CISA no registro é falso, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.