CVE-2025-11422: Injeção de SQL no login.php do Campcodes Advanced Online Voting Management System
Uma falha de injeção de SQL no argumento Username de /admin/login.php do Campcodes Advanced Online Voting Management System 1.0 pode ser acionada remotamente. A NVD classifica como crítica, com nota 9,8 no CVSS 3.1, enquanto as pontuações da VulDB no registro variam. O exploit foi divulgado publicamente, mas o registro não mostra inclusão no catálogo KEV nem exploração confirmada no mundo real.
Visão geral
O CVE-2025-11422 descreve uma fraqueza de injeção de SQL na página de login administrativo /admin/login.php do Campcodes Advanced Online Voting Management System 1.0. Segundo o registro, a falha é alcançada pelo argumento Username e pode ser explorada remotamente. A entrada foi publicada pela VulDB e analisada pela NVD.
Impacto
- A NVD atribui pontuação base 9,8 no CVSS 3.1 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade em seu vetor.
- Outras pontuações no registro divergem, incluindo 6,9 e 5,5 no CVSS 4.0 e 7,3 no CVSS 3.1, de modo que a severidade percebida depende da fonte consultada.
- O registro classifica a fraqueza como CWE-74 (Injeção).
- Os dados SSVC do registro indicam que o problema é automatizável e com impacto técnico parcial.
Produtos e versões afetados
- Campcodes Advanced Online Voting Management System, versão 1.0.
- Campcodes Advanced Online Voting System, versão 1.0.
- O registro não informa versão corrigida.
Situação de exploração
- O registro afirma que o exploit foi divulgado publicamente e pode ser utilizado.
- Segundo o registro, o CVE não consta no catálogo KEV da CISA, portanto essa fonte não confirma exploração ativa.
- A exploração no nível SSVC está registrada como prova de conceito. Não há exploração confirmada no mundo real nas fontes consultadas.
Correção e mitigação
- O registro não lista correção do fabricante. Verifique o site do fornecedor e consulte-o sobre atualização ou orientação.
- Até que uma correção seja confirmada, restrinja o acesso à interface administrativa a redes e usuários confiáveis e evite expô-la à internet pública.
- Se a aplicação for mantida internamente, use consultas parametrizadas e validação rigorosa de entrada na lógica de login.
- Priorize a revisão desse ativo devido à pontuação base crítica.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de entradas incomuns ou malformadas nas requisições a /admin/login.php.
- Observe mensagens de erro do banco de dados e logins administrativos ou alterações de contas inesperadas.
- O monitoramento por firewall de aplicação web pode ajudar a sinalizar entradas com padrão de injeção, em nível geral, mas não substitui a correção.
Limitações das informações disponíveis
- O registro não identifica o código vulnerável exato nem o banco de dados utilizado.
- Não há aviso do fornecedor nem versão corrigida incluídos.
- A entrada EPSS do registro está datada de 2026-10-13; sua atualidade deve ser verificada na fonte ativa.
- O registro não concilia as diferenças de pontuação entre NVD e VulDB.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
O registro mostra que o CVE não consta no catálogo KEV da CISA e afirma que o exploit foi divulgado publicamente. Não há exploração confirmada no mundo real nas fontes consultadas.
Existe versão corrigida?
O registro não informa versão corrigida. Entre em contato com o fornecedor e restrinja o acesso ao login administrativo até que haja orientação.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.