CVE-2026-0570: Injeção de SQL em Feedback.php no Online Music Site da code-projects
A CVE-2026-0570 é uma falha de injeção de SQL (CWE-89) no arquivo /Frontend/Feedback.php do Online Music Site 1.0 da code-projects, acionada pela manipulação do argumento fname. O registro descreve o ataque como remoto e indica a existência de uma referência pública de exploit, e a NVD atribui nota 9.8 (crítica). Nenhuma versão corrigida é listada e o CISA KEV não lista a CVE nos dados consultados.
Visão geral
O registro descreve uma falha de injeção de SQL (CWE-89) no arquivo /Frontend/Feedback.php do Online Music Site, versão 1.0, da code-projects. Segundo a descrição, a manipulação do argumento fname resulta em injeção de SQL, e o ataque pode ser iniciado remotamente. Os dados foram reunidos a partir da NVD, do registro CVE e da VulDB como CNA.
Impacto
- A NVD atribui nota base 9.8, com vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, além de alto impacto na confidencialidade, integridade e disponibilidade.
- Outras notas presentes no registro, da VulDB e da CNA, variam de 5.5 a 7.5.
- Os dados SSVC do registro indicam impacto técnico parcial e que o problema é automatizável.
Produtos e versões afetadas
- Code-projects Online Music Site, versão 1.0, conforme nomeado no registro.
- Fabian Online Music Site, versão 1.0, também listado no registro. Não é possível afirmar se se trata do mesmo software.
- Nenhuma versão corrigida é listada no registro.
Status de exploração
O registro afirma que o exploit foi tornado público e pode ser utilizado, e uma referência pública de rastreamento de issues consta entre as fontes. O catálogo KEV da CISA não lista esta CVE nos dados consultados, portanto não há exploração ativa confirmada nas fontes consultadas. A probabilidade EPSS no registro é 0.00427, com percentil de 0.35887.
Correção e mitigação
- O registro não lista correção do fornecedor. A ausência de versão corrigida não prova que ela não exista, por isso verifique o fornecedor e a entrada da VulDB.
- Restrinja o acesso à aplicação afetada, especialmente à funcionalidade de feedback, a redes confiáveis até que o status de correção seja esclarecido.
- Se o projeto tiver sido implantado a partir do código público e não houver versão corrigida, considere remover ou substituir o componente de feedback.
- Aplique validação de entrada e consultas parametrizadas no código da aplicação, como prática defensiva geral contra injeção de SQL.
Orientações de detecção
- Analise os logs do servidor web e da aplicação em busca de valores incomuns ou malformados enviados à página de feedback.
- Monitore erros de banco de dados retornados à interface web, que podem indicar tentativas de injeção.
- Considere regras de firewall de aplicação web que sinalizem metacaracteres SQL em parâmetros, ajustadas para limitar falsos positivos.
Limitações das informações disponíveis
- O registro não identifica o caminho exato do código vulnerável, o status de correção do fornecedor nem qualquer aviso oficial do fornecedor.
- Não é possível saber se os dois nomes de produto se referem ao mesmo software ou a projetos diferentes.
- As notas variam entre fornecedores, e o registro não explica os motivos dessas diferenças.
Perguntas frequentes
Qual é a vulnerabilidade da CVE-2026-0570?
É uma falha de injeção de SQL (CWE-89) no arquivo /Frontend/Feedback.php do code-projects Online Music Site 1.0, acionada pela manipulação do argumento fname.
Esta CVE está sendo explorada ativamente?
O catálogo KEV da CISA não lista esta CVE nos dados consultados, portanto não há exploração ativa confirmada nas fontes consultadas. O registro afirma que um exploit foi tornado público.
Existe uma versão corrigida?
Nenhuma versão corrigida é listada no registro. A ausência de correção listada não prova que ela não exista, por isso verifique o fornecedor e a entrada da VulDB.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.