Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-108828 Inyección SQL en el panel de administración de Zen Cart en configuration.php

Zen Cart 2.2.2 presenta una inyección SQL en la función eval de admin/configuration.php del componente Admin Panel mediante la manipulación del argumento gID. El ataque puede iniciarse de forma remota, es de alta complejidad y difícil explotación. El proveedor aclara que set_function/use_function no son editables desde la interfaz normal de administración.

Alerta de Nureq Monitor

Detectada 12 OCT · 10:47

CVSS 3.1

4.1MEDIA

CVSS 4.0

2.1 BAJA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 20

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-108828

Zen Cart 2.2.2 presenta una inyección SQL en la función eval de admin/configuration.php del componente Admin Panel mediante la manipulación del argumento gID. El ataque puede iniciarse de forma remota, es de alta complejidad y difícil explotación. El proveedor aclara que set_function/use_function no son editables desde la interfaz normal de administración.

Productos y versiones afectadas

  • Zen Cart

    • 2.2.2

Qué hacer

  1. Verificá si usás Zen Cart y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.1 MEDIA

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Alta
PRIVILEGIOS REQUERIDOS (PR)
Altos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Baja
INTEGRIDAD (I)
Baja
DISPONIBILIDAD (A)
Baja
MADUREZ DEL EXPLOIT (E)
Prueba de concepto
CONFIANZA DEL INFORME (RC)
Razonable

CVSS 4.0 · 2.1 BAJA

CVSS:4.0/AV:N/AC:H/AT:N/PR:H/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Alta
REQUISITOS DEL ATAQUE (AT)
Ninguno
PRIVILEGIOS REQUERIDOS (PR)
Altos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
Baja
INTEGRIDAD (SISTEMA VULNERABLE) (VI)
Baja
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
Baja
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
Ninguna
MADUREZ DEL EXPLOIT (E)
Prueba de concepto

CVSS 3.0 · 4.1 MEDIA

CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Alta
PRIVILEGIOS REQUERIDOS (PR)
Altos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Baja
INTEGRIDAD (I)
Baja
DISPONIBILIDAD (A)
Baja
MADUREZ DEL EXPLOIT (E)
Prueba de concepto
CONFIANZA DEL INFORME (RC)
Razonable

Abrir la calculadora completa

Descripción original

A vulnerability was identified in Zen Cart 2.2.2. Affected by this vulnerability is the function eval of the file admin/configuration.php of the component Admin Panel. The manipulation of the argument gID leads to sql injection. The attack may be initiated remotely. The attack is considered to have high complexity. The exploitation appears to be difficult. The exploit is publicly available and might be used. The vendor explains: "`set_function`/`use_function` are not editable through any normal admin UI (only at plugin-install time via SQL, or via direct database access)".

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.