CVE-2026-45714: Injeção de Template no Lado do Servidor no CubeCart com Execução de Comandos
Versões do CubeCart anteriores à 6.7.0 apresentam uma falha de injeção de template no lado do servidor, exigindo autenticação, em diversos módulos como modelos de e-mail, faturas, documentos e formulários de contato. A entrada fornecida pelo usuário é avaliada pelo mecanismo Smarty sem as políticas de segurança do Smarty habilitadas, o que pode permitir que um usuário com privilégios administrativos execute comandos no sistema operacional do servidor. O registro indica que a correção está na versão 6.7.0, e o aviso do GitHub classifica a severidade como 9.1 (crítica) no CVSS 3.1.
Visão geral
A CVE-2026-45714 afeta o CubeCart, uma solução de software para e-commerce. De acordo com o registro, versões anteriores à 6.7.0 são afetadas por uma falha de injeção de template no lado do servidor (SSTI), que exige autenticação, em diversos módulos administrativos, incluindo Modelos de E-mail, Faturas, Documentos e Formulários de Contato. A fraqueza é classificada como CWE-94 (Injeção de Código) no registro. O aviso principal está disponível no GitHub Security Advisory GHSA-pcfr-xgc9-xfv6.
Impacto
- O registro descreve que a falha permite que um usuário autenticado com privilégios administrativos execute comandos arbitrários no sistema operacional do servidor (execução remota de código).
- O vetor CVSS 3.1 informado é CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H, com pontuação base 9.1 fornecida pelo CNA do GitHub. O vetor indica ataque pela rede, que exige privilégios altos e nenhuma interação do usuário, com mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade.
- A causa descrita é o uso do Smarty para avaliar entradas fornecidas pelo usuário sem que suas políticas de segurança estejam habilitadas.
Produtos e versões afetadas
- Produto: CubeCart (software de e-commerce).
- Faixa afetada informada no registro: anteriores à 6.7.0.
- Versão corrigida informada no registro: 6.7.0.
- Os campos estruturados de afetados e correções estão vazios no registro, portanto a descrição é a única fonte para o limite de versões nesta análise.
Status de exploração
- O registro indica que a vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise.
- A probabilidade EPSS informada no registro é 0,0054 (percentil 0,43879), que estima a chance de atividade de exploração, mas não confirma que ela ocorra.
Correção e mitigação
- Atualize as instalações do CubeCart para a versão 6.7.0 ou superior, conforme informado no registro.
- Restrinja contas administrativas a pessoal de confiança, adote autenticação forte como a autenticação em múltiplos fatores e remova contas de administrador não utilizadas.
- Revise quem pode editar modelos de e-mail, modelos de faturas e documentos, e conteúdo de formulários de contato, pois são os módulos citados no registro.
- Reduza o impacto de uma aplicação web comprometida executando-a com contas de sistema operacional de menor privilégio e restringindo o acesso de saída à rede quando possível.
- Consulte o aviso do fornecedor para orientações adicionais antes e depois da atualização.
Orientações de detecção
- Audite alterações administrativas em configurações e conteúdos relacionados a templates, procurando modificações inesperadas em modelos de e-mail, faturas, documentos ou formulários de contato.
- Monitore o servidor web em busca de processos filhos iniciados pelo runtime do PHP ou da aplicação, o que seria incomum para a operação normal de uma loja.
- Revise o histórico de login de administradores em busca de contas desconhecidas, horários incomuns ou endereços de origem inesperados.
- Correlacione logs da aplicação com logs do sistema para identificar alterações inesperadas de arquivos ou conexões de saída originadas do servidor web.
Limitações das informações disponíveis
- O registro não lista strings de versão afetadas ou corrigidas em campos estruturados; o limite de versões baseia-se apenas no texto da descrição.
- O registro não inclui prova de conceito, análise técnica detalhada nem detalhes de exploração fornecidos pelo fornecedor, e esta análise não os fornece.
- A data EPSS no registro (2026-10-13) é posterior à data de publicação (2026-05-13), portanto os valores EPSS devem ser conferidos novamente na base atual.
- A pontuação CVSS é fornecida pelo CNA do GitHub; não há pontuação atribuída pelo NVD no registro.
- O campo de título do registro estava vazio e o título desta análise foi escrito a partir da descrição.
Perguntas frequentes
Quais versões do CubeCart são afetadas pela CVE-2026-45714?
O registro indica que as versões anteriores à 6.7.0 são afetadas. O campo estruturado de versões afetadas está vazio, então a descrição é a única fonte para esse limite.
Qual é a correção para a CVE-2026-45714?
O registro informa que a vulnerabilidade está corrigida no CubeCart 6.7.0. Os administradores devem atualizar para essa versão ou superior.
A CVE-2026-45714 é explorada ativamente?
Não. O registro mostra que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas nesta análise.
Quem pode explorar essa vulnerabilidade?
Segundo o registro, o atacante precisa estar autenticado com privilégios administrativos, o que se reflete no valor de privilégios altos do vetor CVSS.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.