PT-2026-2179 · Coreshop · Coreshop

Plynatwara · Publicado 2026-01-07 · Atualizado 2026-01-08 · CVE-2026-22242

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do CoreShop anteriores à 4.1.8

Descrição O CoreShop é uma solução de eCommerce aprimorada para o Pimcore. Existe uma injeção SQL cega na aplicação que permite a um usuário autenticado com nível de administrador extrair o conteúdo do banco de dados utilizando técnicas baseadas em booleanos ou em tempo. A conta de banco de dados utilizada pela aplicação é somente leitura e sem privilégios de DBA, limitando o impacto apenas à divulgação de dados confidenciais. Não é possível realizar modificação de dados ou interrupção do serviço.

Recomendações Atualize o CoreShop para a versão 4.1.8 ou superior.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-564

CWE-89

Identificadores relacionados

CVE-2026-22242

GHSA-CH7P-MPV4-4VG4

Produtos afetados

Coreshop

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22242.json · Exploit
• 🔥 https://github.com/coreshop/CoreShop/security/advisories/GHSA-ch7p-mpv4-4vg4 · Exploit
• https://github.com/coreshop/CoreShop · Nota
• https://github.com/coreshop/CoreShop/commit/59e84fec59d113952b6d28a9b30c6317f9e6e5dd · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-22242 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-ch7p-mpv4-4vg4 · Aviso do Fabricante
• https://t.me/CVEtracker/41712 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2009216099334680607 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-22242 · Aviso do Fabricante