PT-2026-32515 · Unknown · Craft Commerce

Rajchowdhury240 + 1 · Publicado 2026-04-13 · Atualizado 2026-04-14 · CVE-2026-32271

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Craft Commerce versões anteriores a 4.10.3 Craft Commerce versões anteriores a 5.5.5

Descrição Uma injeção de SQL existe no widget Commerce TotalRevenue. Isso permite que usuários autenticados do painel de controle alcancem a execução remota de código por meio de uma cadeia de quatro etapas. O problema ocorre quando configurações de widget não sanitizadas são interpoladas em expressões SQL, utilizando o suporte de consulta de múltiplas instruções padrão do PDO para injetar um objeto PHP serializado na tabela de fila. Quando o consumidor da fila processa a tarefa, uma chamada unserialize() irrestrita no yii2-queue instancia uma cadeia de gadgets GuzzleHttp FileCookieJar, onde o método destruct() grava um webshell PHP no webroot do servidor. O processamento da fila é acionado por meio de um endpoint não autenticado.

Recomendações Atualize para a versão 4.10.3. Atualize para a versão 5.5.5.

Correção

RCE

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-32271

GHSA-875V-7M49-8X88

Produtos afetados

Craft Commerce

Referências · 7

• https://github.com/craftcms/commerce · Nota
• https://github.com/craftcms/commerce/commit/6d2d24b3a2b0c06593856d05446f82bd8af92d72 · Nota
• https://github.com/craftcms/commerce/security/advisories/GHSA-875v-7m49-8x88 · Nota
• https://twitter.com/VulmonFeeds/status/2043898555492933976 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-32271 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-875v-7m49-8x88 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2043976205401993233 · Publicação no Twitter