CVE-2025-69562: Injeção de SQL no code-projects Mobile Shop Management System 1.0 via parâmetro userid

Visão geral

A CVE-2025-69562 é uma fraqueza de injeção de SQL (CWE-89) no code-projects Mobile Shop Management System 1.0. O componente afetado é a página /insertmessage.php, e a entrada explorável é o parâmetro userid. O registro foi publicado em 27/01/2026 e atribuído pela CNA cve@mitre.org.

Impacto

A CNA pontuou a falha em 9.8 no CVSS 3.1, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Pelo vetor indicado, a falha é alcançável pela rede, sem autenticação e sem interação do usuário, e o impacto pontuado abrange confidencialidade, integridade e disponibilidade em nível alto.
As consequências práticas em cada implantação dependem das permissões do banco de dados e da configuração da aplicação, o que o registro não descreve.

Produtos e versões afetadas

A descrição cita o code-projects Mobile Shop Management System 1.0.
O campo estruturado de produto afetado indica Fabian Mobile Shop Management System, versão 1.0. Os nomes dos produtos divergem, e o registro não explica a diferença.
Nenhuma versão corrigida consta no registro. Isso não significa que não exista correção; significa que as fontes consultadas não informam uma.

Status de exploração

O registro não indica inclusão da vulnerabilidade no catálogo KEV da CISA.
Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
Duas referências de terceiros estão marcadas como relacionadas a exploração. Isso indica a existência de material público desse tipo, mas o registro não estabelece o seu alcance.

Correção e mitigação

Verifique se o produto está implantado e se o fornecedor ou o projeto publicou uma versão corrigida. O registro não identifica nenhuma.
Enquanto uma correção não for confirmada, restrinja o acesso de rede às páginas administrativas e públicas da aplicação e coloque-a atrás de controles que limitem a exposição.
Utilize consultas parametrizadas ou instruções preparadas em todo acesso ao banco de dados que receba parâmetros de requisição, o que trata a causa raiz dessa classe de falha.
Revise os privilégios da conta de banco de dados, concedendo à aplicação apenas o necessário.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições a /insertmessage.php com valores incomuns ou malformados no parâmetro userid.
Monitore mensagens de erro de banco de dados retornadas a clientes e alterações inesperadas nas tabelas de mensagens ou usuários.
Havendo firewall de aplicação web, habilite regras para padrões de injeção de SQL e revise os alertas desse endpoint.

Limitações das informações disponíveis

O registro não inclui aviso do fornecedor, versão corrigida ou patch.
O nome do produto diverge entre a descrição e o campo de produto afetado.
Detalhes específicos do ambiente, como o mecanismo de banco de dados e se o endpoint está exposto à internet, não são informados.
A análise se limita ao registro e às páginas citadas.

Perguntas frequentes

Qual é a vulnerabilidade da CVE-2025-69562?

É uma falha de injeção de SQL (CWE-89) na página /insertmessage.php do code-projects Mobile Shop Management System 1.0, acionada pelo parâmetro userid.

Qual a gravidade segundo o registro?

A CNA atribuiu pontuação base CVSS 3.1 de 9.8, classificada como crítica, com vetor de rede e sem necessidade de privilégios ou interação do usuário.

Há exploração ativa conhecida?

O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Duas referências de terceiros estão marcadas como relacionadas a exploração, o que por si só não confirma uso.

Existe versão corrigida?

O registro não informa versão corrigida. As fontes consultadas não relatam patch, por isso administradores devem verificar com o fornecedor ou o projeto.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.