CVE-2026-48909: Desserialização insegura de cookies no componente SP LMS (com_splms) para Joomla da JoomShaper
O SP LMS (com_splms), componente da JoomShaper para Joomla, apresenta falha de desserialização de dados não confiáveis (CWE-502) em versões anteriores à 4.1.4. Segundo o registro, um atacante remoto e não autenticado poderia executar código arbitrário no servidor. Não há exploração confirmada nas fontes consultadas, e o registro não informa versão corrigida nem inclusão no catálogo KEV.
Visão geral
O SP LMS (com_splms), componente da JoomShaper para Joomla, desserializa dados de cookies controlados pelo usuário sem validação, segundo o registro. A falha é classificada como CWE-502, Desserialização de Dados Não Confiáveis.
Impacto
O registro indica que um atacante remoto e não autenticado poderia executar código arbitrário no servidor. A pontuação base CVSS 4.0 de 9.5 (Crítica) foi informada pela CNA, security@joomla.org, e o vetor indica alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável.
Produtos e versões afetadas
- Produto: SP LMS (com_splms), da JoomShaper.
- Versões descritas como afetadas: anteriores à 4.1.4.
O registro não traz intervalos estruturados de versões afetadas nem versões corrigidas. O limite citado na descrição é a única informação de versão disponível.
Status de exploração
A entrada do catálogo KEV da CISA no registro indica que este CVE não está listado. Não há exploração confirmada nas fontes consultadas. Dados de EPSS não constam no registro.
Correção e mitigação
- Identifique todas as instalações do SP LMS e registre suas versões.
- Trate instalações abaixo da 4.1.4 como potencialmente afetadas e priorize-as conforme a exposição à internet.
- Consulte o site da JoomShaper para informações oficiais de atualização e confirme se há versão corrigida antes de implantar mudanças.
- Enquanto a atualização não for aplicada, restrinja o acesso ao componente quando operacionalmente viável e revise o inventário de extensões Joomla.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de valores de cookie incomuns, excessivamente grandes ou malformados direcionados ao componente LMS.
- Monitore processos filhos inesperados, alterações de arquivos ou conexões de saída originadas pela conta do servidor web.
- Considere que abusos de desserialização podem ocorrer em uma única requisição e deixar poucos rastros nos logs de acesso padrão.
Limitações das informações disponíveis
O registro não inclui versão corrigida, causa técnica detalhada, texto de aviso do fornecedor, intervalos de versões afetadas, dados de EPSS ou SSVC. O título não foi fornecido no registro de origem. Se houve exploração na prática não é possível afirmar a partir das fontes consultadas.
Perguntas frequentes
Qual é a falha no SP LMS (com_splms)?
Segundo o registro, o componente desserializa dados de cookies controlados pelo usuário sem validação, classificada como CWE-502.
Este CVE está confirmado como explorado na prática?
O registro indica que ele não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.