PT-2026-40806 · Cubecart · Cubecart

CVE-2026-44377 · Publicado 2026-05-13 · Atualizado 2026-05-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas CubeCart versões anteriores a 6.7.0

Descrição Uma Injeção de Template no Lado do Servidor (SSTI) Autenticada existe em múltiplos módulos, incluindo Modelos de E-mail e Documentos. A aplicação avalia de forma insegura a entrada fornecida pelo usuário através do mecanismo de template Smarty. Um invasor autenticado com privilégios administrativos pode ignorar as restrições para chamar funções nativas do PHP dentro dos templates, como readgzfile() para ler arquivos de configuração sensíveis ou error log() para escrever um shell web PHP malicioso, resultando em Divulgação de Informações e Execução Remota de Código (RCE).

Recomendações Atualizar para a versão 6.7.0.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

CWE-1336

Identificadores relacionados

CVE-2026-44377

GHSA-WPJX-G695-QC5J

Produtos afetados

Cubecart

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/44xxx/CVE-2026-44377.json · Exploit
• 🔥 https://github.com/cubecart/v6/security/advisories/GHSA-wpjx-g695-qc5j · Exploit
• https://github.com/cubecart/v6/commit/76d783c8c4d87a8a90dbfef1344a2733e7c6434c · Nota
• https://osv.dev/vulnerability/CVE-2026-44377 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-44377 · Nota de Segurança
• https://twitter.com/CVEnew/status/2054709219669245967 · Publicação no Twitter