PT-2026-35884 · Megacms · Megacms

Miguel Ovejero · Publicado 2026-04-29 · Atualizado 2026-04-30 · CVE-2026-3325

Positive Technologies (AI Summary) · Pt

CVSS v4.0

10

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:L

Nome do Software Vulnerável e Versões Afetadas MegaCMS versão 12.0.0

Descrição A validação e a sanitização inadequadas da entrada do usuário permitem que um invasor não autenticado execute consultas SQL arbitrárias por meio de uma requisição POST. O problema está localizado no endpoint "/web comunications/cms/get provincias" através do parâmetro id territorio, que é processado após o envio do formulário de registro.

Recomendações Atualize o MegaCMS versão 12.0.0 para uma versão corrigida. Evite usar o parâmetro id territorio no endpoint "/web comunications/cms/get provincias" até que o problema seja resolvido.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-3325

Produtos afetados

Megacms

Referências · 5

• https://nvd.nist.gov/vuln/detail/CVE-2026-3325 · Nota de Segurança
• https://t.me/cveNotify/161590 · Publicação no Telegram
• https://incibe.es/en/incibe-cert/notices/aviso/sql-injection-megacms-crm-sistemas-de-fidelizacion · Correção
• https://twitter.com/CVEarity/status/2049719510417207572 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2049594386443309344 · Publicação no Twitter