CVE-2026-9059: NextGEN Gallery: injeção de SQL pelo parâmetro orderby da API REST

Visão geral

As versões do NextGEN Gallery anteriores à 4.2.1 contêm uma falha de injeção de SQL autenticada no parâmetro 'orderby' dos endpoints da API REST /imagely/v1/galleries e /imagely/v1/albums. O registro atribui a causa raiz à função de sanitização _clean_column() na camada data mapper, que usa uma lista negra de caracteres em vez de uma lista branca. A fraqueza é classificada como CWE-89.

Impacto

A Tenable atribui pontuação 9.3 (crítica) no CVSS v4.0, com alto impacto na confidencialidade e integridade do sistema vulnerável e alto impacto na confidencialidade, integridade e disponibilidade dos sistemas subsequentes.
Os dados SSVC do registro indicam impacto técnico total, ausência de exploração conhecida e que o problema não é automatizável.
Uma injeção bem-sucedida em uma cláusula ORDER BY poderia expor ou alterar conteúdo do banco de dados, dependendo da configuração. As consequências exatas não estão detalhadas no registro.

Produtos e versões afetados

Produto: Awesomemotive NextGEN Gallery.
O registro informa a faixa '≥ O and < 4.2.1'. O limite inferior aparece ilegível na fonte, portanto a versão afetada mais antiga é desconhecida.
Nenhuma versão corrigida consta no campo de correções do registro. Como 4.2.1 é o limite superior da faixa afetada, ela provavelmente é a primeira versão não afetada, mas isso é uma inferência a confirmar com o fornecedor.

Status de exploração

A CVE não consta no catálogo KEV da CISA segundo o registro. Não há exploração confirmada na natureza nas fontes consultadas. O campo de exploração SSVC está como 'none' e a probabilidade EPSS é 0,00369 (percentil 0,28927).

Remediação e mitigação

Atualize o NextGEN Gallery para a versão 4.2.1 ou posterior, já que a faixa afetada coloca essa versão fora do intervalo vulnerável.
Revise quais contas possuem a capacidade NextGEN Gallery overview e restrinja-a ao mínimo necessário, pois a atribuição padrão ao perfil Administrador amplia a exposição.
Limite o número de contas administrativas, use autenticação forte e monitore o uso indevido de contas.
Consulte o aviso de pesquisa da Tenable para mais detalhes.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições REST ao namespace imagely, especialmente às rotas de galerias e álbuns, com valores de orderby incomuns ou fora do padrão.
Configure alertas para erros repetidos de consultas ao banco de dados originados desses endpoints.
Correlacione essa atividade com sessões autenticadas de usuários privilegiados.

Limitações das informações disponíveis

O registro não descreve o caminho de código vulnerável além do nome da função, nem o banco de dados testado.
O limite inferior da faixa de versões afetadas está ilegível na fonte.
A data EPSS do registro (2026-10-13) é posterior à data de publicação (2026-05-20) e deve ser interpretada com cautela.
Nenhum aviso do fornecedor ou nota de correção está incluído no registro, portanto os detalhes de correção são desconhecidos além do limite da faixa.

Perguntas frequentes

Quais versões do NextGEN Gallery são afetadas?

O registro indica as versões anteriores à 4.2.1 como afetadas. O limite inferior da faixa está ilegível na fonte, por isso a versão afetada mais antiga é desconhecida.

O atacante precisa estar autenticado?

Sim. O registro descreve a falha como autenticada e exige a capacidade NextGEN Gallery overview, atribuída por padrão ao perfil Administrador.

Esta vulnerabilidade está sendo explorada ativamente?

A CVE não consta no catálogo KEV da CISA segundo o registro, e não há exploração confirmada nas fontes consultadas. O campo de exploração SSVC está como none.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.