CVE-2025-69564: Injeção de SQL no ExAddNewUser.php do Mobile Shop Management System da code-projects

Visão geral

A CVE-2025-69564 descreve uma falha de injeção de SQL no componente /ExAddNewUser.php do Mobile Shop Management System 1.0 da code-projects. Segundo a descrição, diversos campos de entrada relacionados a usuários, como nome, endereço, e-mail, nome de usuário, senha, perfil, filial e ativação, são afetados. O registro está publicado no NVD e no CVE Program e consta como analisado.

Impacto

O NVD atribui pontuação base CVSS 3.1 de 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Com essa classificação, um atacante remoto e não autenticado poderia potencialmente afetar confidencialidade, integridade e disponibilidade. O CWE indicado no registro é o CWE-94 (Injeção de Código), que difere da classe de injeção de SQL descrita no texto; essa divergência está registrada na seção de limitações.

Produtos e versões afetados

A descrição menciona o code-projects Mobile Shop Management System 1.0.
O campo estruturado de produto afetado indica Fabian Mobile Shop Management System, versão 1.0.
A nomenclatura do produto é inconsistente entre a descrição e o campo de produto afetado, por isso administradores devem confirmar qual base de código utilizam.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro consultado, por isso ela não é descrita aqui como explorada ativamente. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Há duas referências de terceiros listadas, uma delas marcada no registro como relacionada a exploit; o registro não confirma o que esse material demonstra, e esta análise não reproduz nem descreve detalhes técnicos dele.

Correção e mitigação

Nenhuma versão corrigida é listada no registro. A ausência de correção listada não significa que ela não exista; consulte o fornecedor ou o mantenedor do software.
Se a aplicação não for essencial, desative-a ou restrinja o acesso às funções administrativas e de cadastro.
Limite a exposição de rede da aplicação a usuários e redes confiáveis, colocando-a atrás de controles de acesso.
Revise o trecho de código de criação de usuários e aplique consultas parametrizadas e validação rigorosa de entradas no servidor, como prática geral de desenvolvimento seguro.
Troque as credenciais de contas que possam ter sido criadas ou alteradas pela funcionalidade afetada, caso haja suspeita de comprometimento.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições incomuns ou malformadas ao endpoint ExAddNewUser.php.
Procure contas de usuário novas, alterações de perfil ou de ativação inesperadas no banco de dados da aplicação.
Monitore mensagens de erro de banco de dados exibidas nas respostas da aplicação, que podem indicar problemas no tratamento de entradas.

Limitações das informações disponíveis

O registro não lista intervalos de versões afetadas além da versão 1.0, nem versão corrigida.
O nome do produto difere entre a descrição e o campo de produto afetado.
O CWE atribuído (CWE-94) não corresponde à injeção de SQL descrita no texto; a classe da fraqueza deve ser confirmada com o CNA ou com o NVD.
Nenhum detalhe de prova de conceito, aviso oficial do fornecedor ou correção foi confirmado nas fontes consultadas.

Perguntas frequentes

O que é a CVE-2025-69564?

É uma falha de injeção de SQL relatada no componente /ExAddNewUser.php do Mobile Shop Management System 1.0 da code-projects, classificada como crítica com pontuação CVSS 3.1 de 9.8 no registro do NVD.

Existe versão corrigida?

O registro não lista versão corrigida. Essa informação é desconhecida, não confirmada como inexistente, por isso verifique com o fornecedor ou o mantenedor.

Esta vulnerabilidade está sendo explorada ativamente?

A CVE não consta no catálogo KEV da CISA no registro consultado, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

O que administradores devem fazer agora?

Restringir o acesso à aplicação, limitar a exposição a redes confiáveis, revisar logs e contas de criação de usuários e confirmar com o fornecedor qual versão do produto está em uso.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.