PT-2026-49306 · Nceas · Metacart

Lvl0X00 + 1 · Publicado 2026-06-15 · Atualizado 2026-06-17 · CVE-2026-48114

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Metacat versões 2.0.0 até 2.x

Descrição O Metacat contém uma injeção de SQL não autenticada no endpoint '/harvesterRegistration'. A função dbInsert() em HarvesterRegistration constrói uma instrução INSERT para a tabela HARVEST SITE SCHEDULE usando concatenação de strings. Ela utiliza um auxiliar quoteString() que envolve a entrada em aspas simples sem a devida filtragem. Os parâmetros vulneráveis são unit, contactEmail e documentListURL. Como o servlet não verifica a identidade LDAP e o backend PostgreSQL permite consultas empilhadas via executeUpdate(), um invasor pode obter acesso total de leitura, gravação e execução no contexto do banco de dados.

Recomendações Atualize para a versão 3.0.0. Como medida paliativa temporária, restrinja o acesso ao endpoint '/harvesterRegistration' para minimizar o risco de exploração.

Correção

SQL injection

Improper Authentication

Enumeração de Fraquezas

CWE-89

CWE-287

Identificadores relacionados

CVE-2026-48114

Produtos afetados

Metacart

Referências · 5

• https://github.com/NCEAS/metacat/commit/820d595309b399fdbdf4983bd1b1dd795773472a · Nota
• https://github.com/NCEAS/metacat/security/advisories/GHSA-wrc6-rc34-hrcg · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-48114 · Nota de Segurança
• https://t.me/CVEtracker/56890 · Publicação no Telegram
• https://twitter.com/Vijaykiran0987/status/2067332705067675876 · Publicação no Twitter