CVE-2026-39358
WysokieStreszczenie
W CubeCart przed wersją 6.6.0 zidentyfikowano podatności na uwierzytelnioną, czasową, ślepą injekcję SQL w parametrach sortowania (sort[price], sort_activity, sort_admin, sort_customer) w punktach końcowych produktów i logów. Umożliwia to atakującemu wykonanie dowolnych poleceń SQL, co zagraża poufności i integralności bazy danych.
Ocena ryzyka
Podatność ta może prowadzić do poważnych naruszeń bezpieczeństwa danych, w tym do nieautoryzowanego dostępu do wrażliwych informacji w bazie danych.
Rekomendacja
Zaleca się aktualizację CubeCart do wersji 6.6.0 lub nowszej, aby usunąć tę podatność.
Inne podatności w CubeCart v6.x
Zobacz wszystkie- CVE-2026-45708Wysokie
CubeCart to rozwiązanie oprogramowania e-commerce, które przed wersją 6.7.3 pozwalało administratorom z uprawnieniami do edytowania dokumentów na zapisanie surowego kodu PHP w Edytorze Faktur. Po kliknięciu przez dowolnego administratora opcji Drukuj, szablon jest zapisywany w pliku, który może być wykonany przez nieautoryzowanych użytkowników.
- CVE-2026-45055Wysokie
CubeCart przed wersją 6.7.2 ma lukę, która pozwala atakującemu na przejęcie konta użytkownika poprzez manipulację linkami w e-mailach. Atakujący może wykorzystać nagłówek Host, aby wysłać złośliwy link do ofiary, co prowadzi do przejęcia konta.
- CVE-2026-45714Krytyczne
W CubeCart przed wersją 6.7.0 występuje podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w wielu modułach, takich jak szablony e-mail, faktury, dokumenty i formularze kontaktowe. Aplikacja niebezpiecznie ocenia dane wejściowe dostarczone przez użytkowników, co pozwala na wykonanie dowolnych poleceń systemowych przez uwierzytelnionych użytkowników z uprawnieniami administracyjnymi.
- CVE-2026-45053Krytyczne
CubeCart przed wersją 6.7.0 zawierał podatność na uwierzytelnione przesyłanie dowolnych plików w punkcie końcowym REST API File Manager. Umożliwia to osobom posiadającym klucz API z uprawnieniami files:rw przesyłanie plików PHP do katalogu images/source/, gdzie są one wykonywane przez serwer WWW.
- CVE-2026-44377Krytyczne
W CubeCart przed wersją 6.7.0 występuje podatność na wstrzyknięcie szablonów po stronie serwera (SSTI) w wielu modułach, w tym w szablonach e-mail i dokumentach. Aplikacja niebezpiecznie ocenia dane wejściowe dostarczone przez użytkownika za pomocą silnika szablonów Smarty.
Oryginalny opis (angielski, źródło NVD)
CubeCart is an ecommerce software solution. Prior to 6.6.0, Authenticated Time-Based Blind SQL Injection vulnerabilities were identified in the sorting parameters (sort[price], sort_activity, sort_admin, and sort_customer) of the Products and Logs endpoints in CubeCart v6.x. This allows an attacker to execute arbitrary SQL commands, compromising the confidentiality and integrity of the database. This vulnerability is fixed in 6.6.0.