CVE-2025-6830: Injeção de SQL no Password Module da Xpoda

Visão geral

O registro descreve uma vulnerabilidade de injeção de SQL (CWE-89) no Password Module da Xpoda Türkiye Information Technology Inc. A CVE foi publicada em 2026-02-09, a CNA é a USOM (iletisim@usom.gov.tr) e o status do registro aparece como Deferred. Os avisos da CNA estão listados no registro em TR-26-0020 (USOM) e TR-26-0020 (Siber Güvenlik).

Impacto

O vetor CVSS 3.1 informado pela CNA é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve falha acessível pela rede, de baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. Injeções de SQL costumam permitir que entradas alterem consultas ao banco de dados. O registro não descreve as consequências concretas neste produto, portanto qualquer exposição ou alteração específica de dados deve ser tratada como não confirmada.

Produtos e versões afetados

A descrição cita o Password Module e afirma que são afetadas as versões 'até 11022026', conforme escrito no registro. O registro não traz uma lista estruturada de versões afetadas ou corrigidas, por isso o intervalo exato deve ser confirmado com o fornecedor ou com os avisos vinculados.

Status de exploração

Esta CVE não consta no catálogo KEV da CISA no registro. Nenhuma exploração ativa confirmada ou explorada na natureza aparece nas fontes consultadas. O registro informa probabilidade EPSS de 0,00472 e percentil de 0,39072.

Correção e mitigação

Identifique se o Password Module está implantado e registre a versão exata em uso.
Entre em contato com o fornecedor e verifique os avisos da USOM para atualizações. O registro não informa uma versão corrigida, e a ausência dela no registro não significa que não exista correção.
Priorize a correção devido à pontuação crítica, especialmente em funções de senha expostas à internet.
Adote práticas de desenvolvimento seguro que separem a lógica de consulta da entrada do usuário, e peça ao fornecedor a confirmação para este produto.
Limite os privilégios das contas de banco de dados usadas pela aplicação.
Use validação de entrada e regras de firewall de aplicação web apenas como controles compensatórios temporários, e não como correção definitiva.

Orientação para detecção

Revise os logs da aplicação web e do banco de dados em busca de erros de banco, entradas malformadas em endpoints de senha e picos incomuns de requisições.
Monitore consultas ou padrões de acesso ao banco feitos pela conta da aplicação que não correspondam ao comportamento normal.
Encaminhe esses eventos para um monitoramento centralizado para investigar anomalias.

Limitações das informações disponíveis

O registro não tem valor em title_en, por isso o título desta análise foi derivado da descrição.
Não há dados estruturados de versões afetadas ou corrigidas no registro.
A sequência 11022026 é ambígua (pode ser data ou versão) e foi reproduzida exatamente como consta.
Os avisos vinculados são citados, mas o conteúdo deles não está incluído no registro.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação e deve ser verificada na fonte.

Perguntas frequentes

A CVE-2025-6830 é explorada na natureza?

O registro não inclui esta CVE no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

Quais versões são afetadas?

A descrição informa que o Password Module é afetado até 11022026, conforme escrito no registro. O registro não traz lista estruturada de versões afetadas ou corrigidas, então confirme o intervalo com o fornecedor ou com os avisos vinculados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.