CVE-2026-0576: Injeção de SQL em prod.php no Online Product Reservation System da code-projects

Visão geral

Foi relatada uma vulnerabilidade no Online Product Reservation System 1.0 da code-projects. A falha está em uma função não identificada do arquivo /handgunner-administrator/prod.php, no componente Parameter Handler. A manipulação dos argumentos cat, price, name, model e serial leva à injeção de SQL. A CNA, VulDB, classifica a fraqueza como CWE-74 (Injeção). Consulte a entrada da NVD e a entrada da VulDB.

Impacto

A pontuação base 9,8 da NVD é a mais alta do registro; o vetor indicado descreve ataque pela rede, baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
Outros provedores do registro listam pontuações menores, incluindo 7,3 da VulDB e 5,5 e 6,9 de outros sistemas de pontuação.
O impacto prático depende dos dados armazenados no banco e da forma como a aplicação está exposta. As fontes não descrevem os dados afetados em implantações reais.

Produtos e versões afetadas

Code-projects Online Product Reservation System, versão 1.0
Fabian Online Product Reservation System, versão 1.0

O registro não lista nenhuma versão corrigida.

Status de exploração

Esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro afirma que existe um exploit público que pode ser utilizado. Os dados SSVC da VulDB classificam a exploração em nível de prova de conceito e como automatizável. A probabilidade EPSS é de cerca de 0,435%, com percentil de cerca de 36,76%, o que representa uma estimativa estatística da probabilidade de exploração e não ataques confirmados.

Correção e mitigação

Nenhuma correção aparece nas fontes disponíveis; trate o produto como não corrigido até que o fornecedor ou o mantenedor confirme o contrário.
Remova a aplicação de implantações expostas à internet quando ela não for necessária, ou restrinja o acesso aos caminhos administrativos por controles de rede e autenticação.
Solicite ao desenvolvedor que substitua consultas ao banco montadas dinamicamente por consultas parametrizadas e que valide no servidor os campos afetados.
Um firewall de aplicação web pode reduzir o risco como controle temporário, mas não substitui a correção no código.
Verifique o site do fornecedor code-projects.org em busca de atualizações.

Orientações de detecção

Analise os logs do servidor web em busca de requisições ao caminho prod.php com valores incomuns ou malformados nos parâmetros listados.
Observe mensagens de erro do banco de dados devolvidas aos clientes e alterações inesperadas nos registros de produtos.
Monitore volume incomum de consultas ou recuperação de dados pela conta de banco de dados da aplicação.

Limitações das informações disponíveis

O registro não identifica a função vulnerável exata nem a alteração de código necessária.
Não há versão corrigida, aviso do fornecedor ou resposta do fornecedor listados.
As pontuações diferem entre provedores e sistemas de pontuação.
O registro menciona um exploit público, mas esta análise não reproduz nem descreve seu funcionamento.
Não se sabe se implantações reais, além dos produtos listados, são afetadas.

Perguntas frequentes

O que é a CVE-2026-0576?

É uma vulnerabilidade de injeção de SQL no arquivo prod.php do Online Product Reservation System 1.0 da code-projects, relatada no componente Parameter Handler.

Pode ser explorada remotamente?

O registro afirma que o ataque pode ser iniciado remotamente, e o vetor da NVD descreve ataque pela rede sem privilégios nem interação do usuário.

Existe correção?

Nenhuma versão corrigida aparece nas fontes consultadas, então o produto deve ser tratado como não corrigido até que o fornecedor confirme o contrário.

Há exploração ativa?

A falha não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O registro informa que existe um exploit público.

O que administradores devem fazer agora?

Restringir ou remover a exposição à internet, limitar o acesso aos caminhos administrativos e solicitar ao desenvolvedor consultas parametrizadas e validação de entrada no servidor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.