CVE-2026-0565: Injeção de SQL em delete.php do Content Management System da code-projects

Visão geral

A CVE-2026-0565 é registrada como uma fraqueza de injeção de SQL (CWE-89) no arquivo /admin/delete.php do code-projects Content Management System 1.0. Segundo o registro, o problema envolve o argumento del e pode ser explorado remotamente. Os dados de origem se baseiam principalmente na entrada da VulDB e no registro da NVD.

Impacto

A injeção de SQL pode permitir que um atacante interaja com o banco de dados da aplicação de formas não previstas pelos desenvolvedores. A exposição ou alteração exata de dados possível neste produto é desconhecida a partir do registro.
A pontuação base da NVD é 9.8 (crítica), o que reflete, na avaliação da NVD, alto impacto em confidencialidade, integridade e disponibilidade.
Outros provedores do registro atribuem pontuações menores, como a VulDB com 6.9 e 7.3 em diferentes versões do CVSS. Essas diferenças devem ser consideradas na priorização.

Produtos e versões afetadas

Produto: code-projects Content Management System.
Versão afetada listada no registro: 1.0.
O registro não informa versão corrigida. A ausência de versão corrigida no registro não confirma que não exista correção; o status do fabricante é desconhecido.

Status de exploração

O registro informa que um exploit foi disponibilizado publicamente e pode ser usado em ataques, com referência a um registro de rastreamento de problemas de terceiros.
O registro indica que a CVE não consta no catálogo CISA KEV. Não há exploração ativa confirmada nas fontes consultadas.
Os dados SSVC do registro atribuem o valor poc (prova de conceito) à exploração e indicam que o problema é automatizável. A probabilidade EPSS é 0.00387, com percentil de 0.31672.

Correção e mitigação

Verifique se o code-projects Content Management System 1.0 está implantado no seu ambiente, incluindo caminhos administrativos como /admin/.
Restrinja o acesso às interfaces administrativas a redes e usuários confiáveis, exigindo autenticação forte.
Aplique validação de entrada e consultas parametrizadas no trecho de código afetado ou substitua o componente por uma alternativa mantida, caso não haja correção do fabricante.
Acompanhe o fabricante e as páginas de aviso referenciadas para identificar uma correção oficial.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns para /admin/delete.php, especialmente com valores inesperados ou excessivamente longos no parâmetro del.
Procure erros de banco de dados ou comportamento anormal de consultas que possam indicar tentativas de injeção.
Use regras de firewall de aplicação web ou de detecção de intrusão quando disponíveis, ajustadas ao ambiente e validadas antes do uso.

Limitações das informações disponíveis

O registro não descreve o código vulnerável exato nem o impacto no banco de dados.
Nenhuma versão corrigida, correção do fabricante ou aviso oficial do fornecedor consta no registro.
Detalhes de exploração não são reproduzidos aqui; o registro apenas informa que existe exploit público.
As pontuações variam entre provedores e versões do CVSS, e a data do EPSS no registro deve ser conferida com os dados atuais antes do uso.

Perguntas frequentes

A CVE-2026-0565 está sendo explorada ativamente?

O registro não lista esta CVE no CISA KEV, então não há exploração ativa confirmada nas fontes consultadas. O registro informa que existe exploit público e classifica a exploração como prova de conceito.

Qual versão é afetada?

O registro indica o code-projects Content Management System versão 1.0 como afetado. Nenhuma versão corrigida consta no registro.

O que os administradores devem fazer agora?

Restringir o acesso aos caminhos administrativos, verificar se o produto está implantado, aplicar validação de entrada ou consultas parametrizadas quando possível e acompanhar as fontes do fabricante por uma correção oficial.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.