HIGHCVE-2026-39358CVSS 7.2

CVE-2026-39358: SQL Injection en CubeCart 6.0.0–6.6.0

Plataforma

php

Componente

cubecart

Corregido en

6.6.0

Se ha descubierto una vulnerabilidad de inyección SQL ciega basada en tiempo (Time-Based Blind SQL Injection) en CubeCart, una solución de software de comercio electrónico. Esta vulnerabilidad, presente en las versiones 6.0.0 hasta la 6.6.0, afecta a los parámetros de ordenación (sort[price], sortactivity, sortadmin, y sort_customer) de los endpoints de Productos y Registros. La explotación exitosa permite a un atacante ejecutar comandos SQL arbitrarios, comprometiendo la seguridad de la base de datos. La vulnerabilidad ha sido corregida en la versión 6.6.0.

Impacto y Escenarios de Ataque

Un atacante con acceso autenticado puede explotar esta vulnerabilidad para extraer datos sensibles de la base de datos de CubeCart. La inyección SQL ciega basada en tiempo requiere que el atacante realice múltiples solicitudes para inferir la estructura de la base de datos y los datos almacenados, pero el impacto potencial es significativo. Esto podría incluir el robo de información de clientes (nombres, direcciones, datos de tarjetas de crédito), detalles de productos, información de pedidos y datos administrativos. Además, un atacante podría modificar o eliminar datos, causando interrupciones en el servicio y pérdida de información. La capacidad de ejecutar comandos SQL arbitrarios también podría permitir al atacante escalar privilegios dentro del sistema, obteniendo control sobre el servidor de la base de datos.

Contexto de Explotación

La vulnerabilidad CVE-2026-39358 fue publicada el 13 de mayo de 2026. La probabilidad de explotación se considera media, dado que requiere acceso autenticado, pero la complejidad técnica no es excesiva. No se han reportado campañas de explotación activas conocidas públicamente al momento de la publicación. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar cualquier actividad maliciosa relacionada con esta vulnerabilidad.

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H7.2HIGHAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredHighNivel de autenticación requeridoUser InteractionNoneSi la víctima debe realizar una acciónScopeUnchangedImpacto más allá del componente afectadoConfidentialityHighRiesgo de exposición de datos sensiblesIntegrityHighRiesgo de modificación no autorizada de datosAvailabilityHighRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Alto — se requiere cuenta de administrador o privilegiada.
User Interaction
Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
Scope
Sin cambio — el impacto se limita al componente vulnerable.
Confidentiality
Alto — pérdida total de confidencialidad. El atacante puede leer todos los datos.
Integrity
Alto — el atacante puede escribir, modificar o eliminar cualquier dato.
Availability
Alto — caída completa o agotamiento de recursos. Denegación de servicio total.

Software Afectado

Componentecubecart
Proveedorcubecart
Versión mínima6.0.0
Versión máxima< 6.6.0
Corregido en6.6.0

Clasificación de Debilidad (CWE)

Cronología

  1. Reservado
  2. Publicada

Mitigación y Workarounds

La mitigación principal para esta vulnerabilidad es actualizar CubeCart a la versión 6.6.0 o superior, que incluye la corrección. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales. Estas medidas pueden incluir la restricción del acceso a los endpoints afectados, la validación y el saneamiento rigurosos de todas las entradas de usuario, y la implementación de un firewall de aplicaciones web (WAF) para bloquear intentos de inyección SQL. Monitorear los registros del servidor en busca de patrones sospechosos, como consultas SQL inusuales o errores relacionados con la base de datos, también puede ayudar a detectar y prevenir ataques. Si se sospecha de una intrusión, se recomienda realizar una auditoría de seguridad completa del sistema.

Cómo corregirlotraduciendo…

Actualice CubeCart a la versión 6.6.0 o posterior para mitigar la vulnerabilidad de inyección SQL ciega basada en tiempo.  Asegúrese de realizar una copia de seguridad de su base de datos antes de actualizar.  Verifique la documentación oficial de CubeCart para obtener instrucciones detalladas de actualización.

Preguntas frecuentes

¿Qué es CVE-2026-39358 — Inyección SQL en CubeCart?

CVE-2026-39358 describe una vulnerabilidad de inyección SQL ciega basada en tiempo en CubeCart, que permite a un atacante ejecutar comandos SQL arbitrarios a través de parámetros de ordenación en las versiones 6.0.0 a 6.6.0.

¿Estoy afectado por CVE-2026-39358 en CubeCart?

Si está utilizando CubeCart en la versión 6.0.0, 6.1.0, 6.2.0, 6.3.0, 6.4.0, 6.5.0 o 6.6.0, es probable que esté afectado por esta vulnerabilidad.

¿Cómo soluciono CVE-2026-39358 en CubeCart?

La solución recomendada es actualizar CubeCart a la versión 6.6.0 o superior, que incluye la corrección de la vulnerabilidad. Si la actualización no es inmediata, implemente medidas de seguridad adicionales como WAF y validación de entradas.

¿Se está explotando activamente CVE-2026-39358?

Actualmente no se han reportado campañas de explotación activas conocidas públicamente, pero la probabilidad de explotación se considera media y se recomienda monitorear la situación.

¿Dónde puedo encontrar el aviso oficial de CubeCart para CVE-2026-39358?

Consulte el sitio web de CubeCart o su canal de comunicación oficial para obtener el aviso de seguridad correspondiente a CVE-2026-39358.

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

liveescaneo gratuito

Pruébalo ahora — sin cuenta

Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.

Escaneo manualAlertas en Slack/emailMonitoreo continuoReportes white-label

Arrastra y suelta tu archivo de dependencias

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...