CVE-2025-11431: Injeção de SQL em transaction.php do Web-Based Inventory and POS System da code-projects

Visão geral

O registro descreve uma falha de injeção de SQL (CWE-89) no arquivo transaction.php do code-projects Web-Based Inventory and POS System 1.0. A falha é acionada pela manipulação do argumento shopid. A VulDB é a CNA responsável pela entrada, e o NVD a classifica como crítica.

Impacto

O vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, com pontuação base 9.8, indica vetor de rede, baixa complexidade, ausência de privilégios ou interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade.
Injeções de SQL podem, em geral, permitir leitura ou alteração não autorizada de dados do banco. Os efeitos exatos nesta aplicação não são descritos no registro.

Produtos e versões afetadas

Code-projects Web-Based Inventory and POS System, versão 1.0.
Fabian Web-based Inventory And Pos System, versão 1.0, listado como segundo nome de produto afetado no registro.
Nenhuma outra versão é listada. Consulte a página do projeto para informações de versão.

Situação de exploração

O registro informa que o exploit foi divulgado publicamente e pode ser utilizado. O valor SSVC de exploração é poc (prova de conceito) e o valor de automatizável é no.
Esta CVE não consta no catálogo KEV da CISA; portanto, nenhuma exploração ativa confirmada aparece nas fontes consultadas.
A probabilidade EPSS é 0.00398, com percentil 0.32179.

Correção e mitigação

Nenhuma versão corrigida é listada no registro. A ausência de correção listada não significa que ela não exista, por isso o status de correção é desconhecido.
Restrinja o acesso remoto à aplicação, mantendo-a fora de redes públicas sempre que possível e atrás de autenticação.
Solicite ao fornecedor ou aos mantenedores do projeto uma versão corrigida. Se você mantém o código, aplique validação de entrada e consultas parametrizadas.
Revise os privilégios da conta de banco de dados usada pela aplicação e aplique o princípio do menor privilégio.

Detecção

Revise os logs do servidor web e da aplicação em busca de valores incomuns ou malformados no parâmetro shopid em requisições a transaction.php.
Monitore erros de banco de dados originados da página de transações.
Um firewall de aplicação web pode ajudar a sinalizar padrões de sintaxe SQL, mas não substitui a correção no código.

Limitações das informações disponíveis

O registro não identifica as linhas de código afetadas, as versões corrigidas nem qualquer resposta de segurança do fornecedor.
O link do fornecedor no registro aponta para a página do projeto; o registro não confirma um aviso de segurança publicado pelo projeto.
O registro lista um segundo nome de produto diferente do primeiro; não está claro se ambos se referem à mesma base de código.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação e deve ser verificada na fonte.

Perguntas frequentes

Esta CVE está sendo explorada ativamente?

A CVE não consta no catálogo KEV da CISA, portanto nenhuma exploração ativa confirmada aparece nas fontes consultadas. O registro informa, porém, que um exploit foi divulgado publicamente e pode ser utilizado.

Existe versão corrigida?

Nenhuma versão corrigida é listada no registro. Trate o status de correção como desconhecido e consulte o fornecedor ou os mantenedores do projeto para atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.