CVE-2026-0567: code-projects Content Management System pages.php injeção de SQL
Uma falha de injeção de SQL no code-projects Content Management System 1.0 afeta o arquivo pages.php, em que o argumento ID não é tratado com segurança. O registro descreve acesso remoto e uma referência pública de exploit, e o NVD classifica a falha como crítica com pontuação 9.8.
Visão geral
O registro descreve uma falha de injeção de SQL no arquivo pages.php do code-projects Content Management System 1.0. O argumento ID é apontado como ponto de injeção, e a fraqueza é classificada como CWE-89. Os detalhes constam na entrada do NVD e na entrada da VulDB.
Impacto
- Uma injeção de SQL bem-sucedida pode permitir a leitura ou alteração de dados do banco, dependendo da configuração da aplicação e do banco.
- O NVD classifica a falha como crítica, com pontuação 9.8, refletindo na avaliação uma falha acessível remotamente, sem exigir privilégios nem interação do usuário.
- O registro não descreve quais dados específicos ficariam expostos.
Produtos e versões afetados
- Produto: Code-projects Content Management System.
- Versão listada: 1.0.
- Nenhuma versão corrigida é listada no registro. A ausência de correção no registro não confirma que ela não exista.
Status de exploração
- O registro afirma que o exploit está público, e uma referência é marcada como exploit em uma issue no GitHub.
- O registro mostra que a CVE não consta no catálogo KEV da CISA; portanto, não há exploração confirmada no mundo real nas fontes consultadas.
- Os dados SSVC do registro indicam exploração em nível de prova de conceito e automatizável.
Correção e mitigação
- Verifique se o fornecedor ou o projeto publicou versão corrigida. Nenhuma aparece no registro; consulte o site do fornecedor.
- Até que uma correção seja confirmada, restrinja o acesso às instalações afetadas, limite a exposição a redes não confiáveis e confirme se o endpoint pages.php é acessível pela internet.
- Se o software for mantido internamente ou puder ser modificado, adote validação de entrada e consultas parametrizadas.
- Revise os privilégios da conta de banco usada pela aplicação para que tenha apenas o necessário.
Orientação de detecção
- Analise logs do servidor web e da aplicação em busca de requisições incomuns ao pages.php com valores anormais no parâmetro ID.
- Monitore erros de banco de dados que indiquem problemas de sintaxe SQL originados pela aplicação web.
- Considere monitoramento com firewall de aplicação web para padrões de injeção de SQL, lembrando que esses padrões podem ser contornados.
Limitações das informações disponíveis
- O registro não identifica a função ou a linha exata vulnerável.
- Nenhuma versão corrigida é listada.
- As pontuações CVSS variam entre fornecedores no registro. A pontuação 9.8 do NVD é mais alta que as pontuações listadas da VulDB e da CNA.
- A probabilidade EPSS registrada é 0.00387, com percentil 0.31663.
- O registro não informa quantas instalações são afetadas.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada no mundo real?
O registro mostra que a CVE não consta no catálogo KEV da CISA, portanto não há exploração confirmada no mundo real nas fontes consultadas. O registro afirma, porém, que existe uma referência pública de exploit.
Há uma versão corrigida disponível?
Nenhuma versão corrigida é listada no registro. Consulte o fornecedor ou o projeto, pois a ausência de correção listada não confirma que ela não exista.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.