CVE-2026-74251

Nome do Software Vulnerável e Versões Afetadas Phoca Cart versões 5.0.0 até 6.1.16

Descrição Um invasor não autenticado pode realizar uma injeção de SQL na página pública de itens da loja. O problema ocorre porque os parâmetros de array GET a[] (atributo) e s[] (especificação) são concatenados diretamente em cláusulas SQL WHERE sem a devida parametrização ou escape. Isso permite a extração completa do banco de dados usando técnicas cegas baseadas em tempo (time-based blind), nas quais o invasor infere dados observando o tempo que o servidor leva para responder a consultas específicas.

Recomendações Atualize o Phoca Cart para uma versão posterior à 6.1.16. Como mitigação temporária, restrinja o acesso à página pública de itens da loja ou filtre os parâmetros a[] e s[] no nível do firewall de aplicação web.