CVE-2026-45053: CubeCart API REST Gerenciador de Arquivos: upload arbitrário de arquivos autenticado

Visão geral

O CubeCart é uma solução de software de e-commerce. De acordo com o aviso de segurança do GitHub referenciado no registro, versões anteriores à 6.7.0 contêm uma vulnerabilidade de upload arbitrário de arquivos, exigindo autenticação, no endpoint do Gerenciador de Arquivos da API REST. A fraqueza é classificada como CWE-434 (Upload Irrestrito de Arquivo com Tipo Perigoso), e o registro informa que ela está corrigida na versão 6.7.0.

Impacto

Detentores de uma chave de API com a permissão files:rw podem enviar arquivos-fonte PHP para o diretório images/source/, acessível pela web.
Uma falha de path traversal no parâmetro filepath do mesmo endpoint, segundo o registro, amplia os locais onde arquivos podem ser gravados.
O registro descreve o resultado combinado como execução remota de código completa por meio do processo do servidor web.
A pontuação base CVSS 3.1 registrada é 9,1 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H.

Produtos e versões afetadas

Produto: CubeCart (software de e-commerce).
Afetadas: versões anteriores à 6.7.0, conforme a descrição do registro.
Corrigida: versão 6.7.0, conforme a descrição do registro.
As listas estruturadas de versões afetadas e correções do registro estão vazias, portanto as informações de versão vêm apenas do texto da descrição.

Status de exploração

Segundo o registro, a CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O registro inclui probabilidade EPSS de 0,00761 e percentil de 0,54126.

Correção e mitigação

Atualize o CubeCart para a versão 6.7.0 ou posterior.
Revise as chaves de API, remova a permissão files:rw onde ela não for necessária e substitua qualquer chave que possa ter sido exposta.
Restrinja o acesso à API a redes confiáveis, quando isso for operacionalmente viável.
Audite o diretório images/source/ e a raiz web em busca de arquivos PHP inesperados e revise os logs do servidor web em busca de requisições a eles.

Orientações de detecção

Procure arquivos PHP recém-criados em diretórios que aceitam uploads, especialmente images/source/, que não correspondam a atividade administrativa normal.
Revise os logs da API em busca de requisições de gerenciamento de arquivos vindas de chaves ou endereços inesperados.
Monitore os logs do servidor web em busca de requisições a scripts desconhecidos em diretórios com permissão de escrita.

Limitações das informações disponíveis

O registro não inclui faixas estruturadas de versões afetadas nem listas de correções.
O registro não traz detalhes técnicos além da descrição, e nenhuma evidência de exploração foi encontrada nas fontes consultadas.
O status da fonte no registro é Deferred, e a data do EPSS no registro é posterior à data de publicação; convém verificar os detalhes atuais no aviso do GitHub e nas notas do fornecedor.

Perguntas frequentes

Quais versões do CubeCart são afetadas pela CVE-2026-45053?

Conforme a descrição do registro, são afetadas as versões anteriores à 6.7.0. A lista estruturada de produtos afetados do registro está vazia.

A correção está disponível?

O registro informa que a vulnerabilidade está corrigida na versão 6.7.0. Atualizar para essa versão ou posterior é a correção recomendada.

Há evidência de exploração ativa desta vulnerabilidade?

O registro mostra que a CVE não consta no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.