PT-2026-40815 · Cubecart+1 · Cubecart+1

CVE-2026-45714 · Publicado 2026-05-13 · Atualizado 2026-05-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas CubeCart versões anteriores a 6.7.0

Descrição Uma Injeção de Template no Lado do Servidor (SSTI) Autenticada existe em múltiplos módulos, incluindo Modelos de E-mail, Faturas, Documentos e Formulários de Contato. A aplicação avalia de forma insegura a entrada fornecida pelo usuário usando o mecanismo de template Smarty sem habilitar as Políticas de Segurança do Smarty. Isso permite que qualquer usuário autenticado com privilégios administrativos execute comandos arbitrários do sistema operacional (Execução Remota de Código) no servidor.

Recomendações Atualizar para a versão 6.7.0.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

CWE-1336

Identificadores relacionados

CVE-2026-45714

GHSA-PCFR-XGC9-XFV6

Produtos afetados

Cubecart

Smarty

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/45xxx/CVE-2026-45714.json · Exploit
• 🔥 https://github.com/cubecart/v6/security/advisories/GHSA-pcfr-xgc9-xfv6 · Exploit
• https://osv.dev/vulnerability/CVE-2026-45714 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2054842385339732271 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-45714 · Nota de Segurança
• https://twitter.com/CVEnew/status/2054709212748689786 · Publicação no Twitter