CVE-2026-9065: SureCart - Injeção de SQL
As versões do SureCart anteriores à 4.2.1 contêm uma falha de injeção de SQL autenticada no endpoint REST de integrações, classificada com nota 9.3 (crítica) no CVSS 4.0 pela Tenable. A causa raiz é um contorno de escape no construtor de consultas, que pode permitir a injeção de SQL em cláusulas WHERE. Não há exploração confirmada nas fontes consultadas, e o registro não informa versão corrigida.
Visão geral
As versões do SureCart anteriores à 4.2.1 são afetadas por uma vulnerabilidade de injeção de SQL autenticada (CWE-89) no endpoint REST '/surecart/v1/integrations/{id}'. Segundo o registro, vários parâmetros podem transportar a entrada injetada: 'model_name', 'model_id', 'integration_id' e 'provider'. O aviso da Tenable é a fonte de pesquisa referenciada, e o registro no NVD concentra os dados de pontuação.
O registro atribui o problema ao construtor de consultas ('wp-query-builder'), no qual a entrada passada ao método 'where()' só recebe escape sob certas condições. Trata-se de um defeito na lógica de tratamento de entrada, e não no mecanismo do banco de dados.
Impacto
O vetor informado no registro é CVSS 4.0 AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:H, com pontuação base 9.3. Isso indica alto impacto na confidencialidade e na integridade do sistema vulnerável, sem impacto direto na disponibilidade dele e alto impacto em sistemas subsequentes. Como o registro descreve extração de banco de dados, um ataque bem-sucedido poderia expor dados armazenados, incluindo credenciais e informações de clientes guardadas no banco do WordPress. Os dados exatos expostos dependem da configuração do site, que o registro não descreve.
Produtos e versões afetados
- Produto listado no registro: Brainstormforce Surecart.
- Faixa afetada: versões anteriores à 4.2.1. A notação do limite inferior no registro contém um erro de digitação, portanto a primeira versão afetada não pode ser confirmada a partir do registro.
- Versão corrigida: o campo de correções está vazio. A faixa afetada sugere que a 4.2.1 é a primeira versão não afetada, mas isso é uma inferência e deve ser verificado nas notas de versão do fornecedor.
Status de exploração
O catálogo KEV da CISA não lista esta CVE, e o registro não mostra exploração ativa confirmada. Os campos SSVC do registro indicam exploração como 'none' e automatizável como 'no'. A probabilidade EPSS é 0.00435 (percentil 0.35987). Esses valores refletem o registro no momento da coleta. Não há exploração confirmada nas fontes consultadas, por isso não se afirma exploração ativa aqui.
Correção e mitigação
- Atualize o SureCart para a versão 4.2.1 ou superior, conforme sugere a faixa afetada, e confirme a versão instalada em cada site WordPress.
- Até a atualização, limite o acesso dos usuários autenticados aos endpoints da API REST ao mínimo necessário e revise contas com privilégios elevados.
- Revise a lista de contas e remova as que não são usadas ou que têm privilégios excessivos, já que o vetor exige privilégios altos.
- Mantenha cópias de segurança do banco e monitore alterações inesperadas nas tabelas de dados do SureCart.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns a '/surecart/v1/integrations/' com valores atípicos nos parâmetros listados.
- Procure requisições autenticadas repetidas a endpoints de integração que retornem respostas anormalmente grandes ou gerem erros de banco de dados.
- Audite contas criadas ou elevadas recentemente, especialmente as usadas para acessar a API REST.
- Trate a detecção neste nível como ponto de partida; o registro não fornece assinaturas nem indicadores de comprometimento.
Limitações das informações disponíveis
O registro não informa uma versão corrigida oficial do fornecedor, não inclui o aviso do próprio fornecedor e não descreve as condições exatas em que o construtor de consultas se comporta de forma diferente. Os dados de CVSS vêm da Tenable e aparecem duplicados sob dois rótulos de provedor no registro. A data do EPSS no registro é posterior à data de publicação, por isso deve ser interpretada com cautela. A exposição de cada site também depende de o recurso de integrações do SureCart estar ativo, o que o registro não informa.
Perguntas frequentes
Quais versões do SureCart são afetadas pela CVE-2026-9065?
O registro indica as versões anteriores à 4.2.1 como afetadas. O limite inferior da faixa contém um erro de digitação, então a primeira versão afetada não pode ser confirmada pelo registro.
Esta vulnerabilidade exige autenticação?
Sim. O registro a descreve como injeção de SQL autenticada, e o vetor CVSS indica que são necessários privilégios altos.
Esta CVE é conhecida por ser explorada ativamente?
Não. O catálogo KEV da CISA não a lista, e não há exploração confirmada nas fontes consultadas.
O que os administradores devem fazer agora?
Atualizar o SureCart para a versão 4.2.1 ou superior, verificar a versão instalada em cada site e reduzir o acesso de contas privilegiadas até a atualização ser aplicada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.