CVE-2025-11424: Injeção de SQL em login.php do Web-Based Inventory and POS System da code-projects
Uma falha de injeção de SQL no arquivo login.php do Web-Based Inventory and POS System 1.0 da code-projects pode ser acionada remotamente pelo argumento emailid. O NVD atribui nota 9.8 (CVSS 3.1, crítica), enquanto a VulDB apresenta notas menores na versão 4.0 do CVSS. Não há versão corrigida nos registros consultados e a CVE não consta no catálogo KEV da CISA.
Visão geral
A CVE-2025-11424 afeta o Web-Based Inventory and POS System da code-projects, versão 1.0. Segundo o registro, a falha está no arquivo /login.php e pode ser alcançada pela manipulação do argumento emailid, o que pode levar a injeção de SQL. O registro classifica a fraqueza como CWE-74 (Injection).
Impacto
- O NVD atribui pontuação base 9.8 (CVSS 3.1, crítica), com alto impacto em confidencialidade, integridade e disponibilidade.
- A VulDB lista pontuações CVSS 4.0 de 6.9 e 5.5 em suas próprias entradas de fornecedor.
- Uma injeção bem-sucedida poderia expor ou alterar dados tratados no fluxo de login e no banco de dados associado. Trata-se de inferência com base na classe da vulnerabilidade, não de um teste validado.
Produtos e versões afetadas
- Web-Based Inventory and POS System da Code-projects, versão 1.0.
- Fabian Web-based Inventory And Pos System, versão 1.0, também listado no registro.
O registro não informa nenhuma versão corrigida.
Status de exploração
A CVE não consta no catálogo KEV da CISA, portanto esta análise não afirma exploração ativa. O registro informa que há exploit divulgado publicamente que pode ser utilizado, e o valor de exploração do SSVC é poc (prova de conceito). Nas fontes consultadas não aparece exploração confirmada. A entrada EPSS do registro indica probabilidade de 0.00478 e percentil de 0.39553.
Correção e mitigação
- Verifique com o fornecedor e no site da code-projects se há versão atualizada, pois o registro não lista correção.
- Se não houver correção, restrinja o acesso à tela de login a redes confiáveis e remova a aplicação da exposição à internet sempre que possível.
- Oriente as equipes de desenvolvimento a substituir consultas montadas por concatenação de texto por consultas parametrizadas e a validar o emailid no servidor.
- Use um firewall de aplicação web como controle compensatório temporário, sabendo que ele não substitui a correção do código.
- Avalie se a aplicação ainda é necessária e desative instâncias sem uso.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições ao login.php com valores de emailid incomuns ou malformados.
- Observe erros de banco de dados retornados pela página de login e picos incomuns de tentativas de autenticação.
- Monitore consultas inesperadas ao banco de dados ou alterações de conta após requisições de login.
Limitações das informações disponíveis
- O registro não traz versão corrigida, aviso do fornecedor nem patch.
- O registro indica CWE-74, uma categoria ampla de injeção. A classe específica de injeção de SQL é uma inferência a partir da descrição.
- O registro não inclui prova de impacto testada, então o efeito real depende da implantação.
- A data da entrada EPSS no registro (2026-10-13) é posterior à data de publicação e deve ser verificada na fonte.
Perguntas frequentes
A CVE-2025-11424 está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA, por isso esta análise não afirma exploração ativa. O registro informa que há exploit divulgado publicamente, mas nas fontes consultadas não aparece exploração confirmada.
Existe versão corrigida para esta vulnerabilidade?
O registro não lista nenhuma versão corrigida. Verifique com o fornecedor e no site da code-projects se há atualização e, se não houver, aplique controles compensatórios.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.