PT-2026-4542 · Salesforce · Salesforce Marketing Cloud Engagement

[e-mail] · Publicado 2026-01-24 · Atualizado 2026-05-09 · CVE-2026-22585

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Salesforce Marketing Cloud Engagement versões anteriores a 21 de janeiro de 2026

Descrição O uso de um algoritmo criptográfico quebrado ou arriscado nos módulos CloudPages, Forward to a Friend, Profile Center, Subscription Center, Unsub Center e View As Webpage permite a Manipulação de Protocolo de Serviços Web. O problema envolve um padding oracle (um ataque de canal lateral que permite a um invasor descriptografar dados ao observar respostas de erro de um servidor) em uma chave AES estática compartilhada entre todos os locatários. Isso pode ser combinado com a injeção de AMPScript em linhas de assunto para ler dados de outros usuários, incluindo e-mails.

Recomendações Atualize para a versão lançada em ou após 21 de janeiro de 2026.

Correção

Use of a Broken Cryptographic Algorithm

Enumeração de Fraquezas

CWE-327

Identificadores relacionados

CVE-2026-22585

Produtos afetados

Salesforce Marketing Cloud Engagement

Referências · 10

• https://twitter.com/julianor/status/2053128514337911151 · Publicação no Twitter
• https://t.me/CVEtracker/42895 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-22585 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-22585 · Nota de Segurança
• https://help.salesforce.com/s/articleView?id=005299346&type=1 · Aviso do Fabricante
• https://twitter.com/TheHackerWire/status/2015878223842967853 · Publicação no Twitter
• https://twitter.com/ITSecurityguard/status/2051619146975076440 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2014995816206016572 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2014901500539977830 · Publicação no Twitter
• https://twitter.com/assetnote/status/2051609063814037601 · Publicação no Twitter