CVE-2026-0546: Injeção de SQL em search.php do code-projects Content Management System
Foi relatada uma injeção de SQL no arquivo search.php do code-projects Content Management System 1.0, acessível pelo argumento Value. O registro indica que o ataque pode ser realizado remotamente e menciona divulgação pública de exploit, mas nenhuma correção aparece nas fontes consultadas. Recomenda-se tratar como prioridade alta e aplicar isolamento e controles de tratamento de entrada.
Visão geral
Foi relatada uma fraqueza de injeção de SQL (CWE-89) em uma função não identificada do arquivo search.php do code-projects Content Management System 1.0. Segundo o registro, a entrada enviada pelo argumento Value não é tratada com segurança antes de chegar à camada de banco de dados.
Impacto
- Confidencialidade, integridade e disponibilidade podem ser afetadas caso dados possam ser lidos ou alterados por esse caminho. O registro da NVD atribui valores de impacto altos às três áreas.
- O registro informa que o problema pode ser explorado remotamente, o que aumenta a exposição de implantações acessíveis pela internet.
- As entradas da VulDB classificam a severidade abaixo da NVD, portanto o risco real depende do contexto de implantação.
Produtos e versões afetados
- Produto: code-projects Content Management System.
- Versão listada no registro: 1.0.
- Outras versões não estão listadas; se são afetadas é desconhecido.
- Nenhuma versão corrigida está listada no registro.
Status de exploração
- O registro afirma que um exploit foi divulgado publicamente, e uma issue no GitHub está marcada como referência de exploit.
- Segundo o registro, a CVE não consta no catálogo de vulnerabilidades exploradas conhecidas da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
- Os metadados SSVC do registro classificam a exploração no nível de prova de conceito.
Correção e mitigação
- Nenhuma correção do fornecedor está documentada nas fontes consultadas. Entre em contato com o fornecedor ou com os mantenedores do projeto para confirmar se existe versão corrigida.
- Limite o acesso à aplicação afetada, principalmente a partir de redes não confiáveis, e retire-a da exposição pública até que seja revisada.
- Use consultas parametrizadas e validação rigorosa de entrada no trecho de código afetado, ou substitua o componente por uma alternativa mantida.
- Revise os privilégios da conta de banco de dados para que a aplicação tenha apenas os direitos necessários.
Orientações de detecção
- Analise os logs do servidor web e da aplicação em busca de requisições incomuns ou malformadas para search.php, especialmente parâmetros Value com caracteres de sintaxe de banco de dados.
- Monitore erros de banco de dados exibidos a usuários e volume de consultas inesperado vindo da conta da aplicação web.
- Observe arquivos novos ou modificados no diretório raiz da aplicação.
Limitações das informações disponíveis
- O registro não identifica a função exata nem a alteração de código que corrige o problema.
- Versões corrigidas, declarações do fornecedor e condições completas de exploração não são confirmadas nas fontes consultadas.
- Os valores de EPSS e as pontuações de diferentes provedores divergem; devem ser tratados como contexto, não como medida definitiva.
Perguntas frequentes
A CVE-2026-0546 é explorada ativamente?
O registro não lista a CVE no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O registro menciona que um exploit foi divulgado publicamente.
Existe correção oficial?
Nenhuma correção está listada no registro ou nas fontes consultadas. Consulte o fornecedor ou os mantenedores do projeto sobre uma versão corrigida.
Quais versões são afetadas?
O registro lista apenas a versão 1.0. Se outras versões são afetadas é desconhecido.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.