Vulnerabilidades de Pear

CVE-2026-25241 Crítica · 9.8 CWE-89 03/02/2026

Injeção de SQL não autenticada no Pearweb (PEAR) via endpoint de versão de pacote

PEAR é um framework e sistema de distribuição para componentes PHP reutilizáveis. Antes da versão 1.33.0, uma injeção de SQL não autenticada no endpoint /get/<package>/<version> permite que atacantes remotos executem SQL arbitrário por meio de uma versão de pacote criada de forma maliciosa. Este problema foi corrigido na versão 1.33.0.

CVE-2026-25240 Crítica · 9.8 CWE-89 03/02/2026

Injeção de SQL no PEAR Pearweb em user::maintains() via filtro de funções

PEAR é um framework e sistema de distribuição para componentes PHP reutilizáveis. Antes da versão 1.33.0, pode ocorrer uma vulnerabilidade de injeção de SQL em user::maintains() quando filtros de funções são fornecidos como um array e interpolados em uma cláusula IN (...). Este problema foi corrigido na versão 1.33.0.

CVE-2026-25239 Alta · 7.5 CWE-89 03/02/2026

PEAR is Vulnerable to SQL Injection in apidoc_queue Insert via Unescaped Filename

PEAR is a framework and distribution system for reusable PHP components. Prior to version 1.33.0, a SQL injection vulnerability in apidoc queue insertion can allow query manipulation if an attacker can influence the inserted filename value. This issue has been patched in version 1.33.0.

CVE-2026-25238 Crítica · 9.8 CWE-89 03/02/2026

PEAR Pearweb: injeção de SQL na exclusão de inscrições em bugs

O PEAR é um framework e sistema de distribuição de componentes PHP reutilizáveis. Antes da versão 1.33.0, uma vulnerabilidade de injeção de SQL na exclusão de inscrições em bugs pode permitir que atacantes injetem SQL por meio de um valor de e-mail elaborado. Este problema foi corrigido na versão 1.33.0.

CVE-2026-25237 Crítica · 9.8 CWE-624 03/02/2026

PEAR Pearweb: execução de código PHP via modificador /e do preg_replace

O PEAR é um framework e sistema de distribuição para componentes PHP reutilizáveis. Antes da versão 1.33.0, o uso de preg_replace() com o modificador /e no tratamento de atualizações de bugs por e-mail pode permitir execução de código PHP se conteúdo controlado por um atacante alcançar a substituição avaliada. Este problema foi corrigido na versão 1.33.0.

CVE-2026-25236 Crítica · 9.8 CWE-89 03/02/2026

Injeção de SQL em consultas de karma do PEAR Pearweb (CVE-2026-25236)

O PEAR é um framework e sistema de distribuição para componentes PHP reutilizáveis. Antes da versão 1.33.0, existe um risco de injeção de SQL em consultas de karma devido à substituição literal insegura para uma lista IN (...). Este problema foi corrigido na versão 1.33.0.

CVE-2026-25235 Alta · 7.5 CWE-337 03/02/2026

PEAR Has a Predictable Verification Hash in Election Account Requests

PEAR is a framework and distribution system for reusable PHP components. Prior to version 1.33.0, predictable verification hashes may allow attackers to guess verification tokens and potentially verify election account requests without authorization. This issue has been patched in version 1.33.0.

CVE-2026-25234 Crítica · 9.8 CWE-89 03/02/2026

PEAR Pearweb: injeção de SQL na exclusão de categorias

PEAR é um framework e sistema de distribuição para componentes PHP reutilizáveis. Antes da versão 1.33.0, uma vulnerabilidade de injeção de SQL na exclusão de categorias pode permitir que um atacante com acesso ao fluxo de gerenciamento de categorias injete SQL por meio de um id de categoria. Este problema foi corrigido na versão 1.33.0.

CVE-2026-25233 Crítica · 9.1 CWE-783 03/02/2026

Falha de Lógica na Autorização de Roadmaps do PEAR Pearweb

PEAR é um framework e sistema de distribuição para componentes PHP reutilizáveis. Antes da versão 1.33.0, um erro de lógica na verificação de papel de roadmaps permite que mantenedores que não são líderes criem, atualizem ou excluam roadmaps. Este problema foi corrigido na versão 1.33.0.