CVE-2026-0578: Injeção de SQL em delete.php no Online Product Reservation System da code-projects

Visão geral

A CVE-2026-0578 descreve uma fraqueza de injeção de SQL no arquivo delete.php da área administrativa do code-projects Online Product Reservation System 1.0. Segundo o registro, a manipulação do argumento ID pode alterar consultas ao banco de dados. A fraqueza é classificada como CWE-74 (Injeção). Fontes: registro NVD, entrada VulDB.

Impacto

O vetor divulgado pela NVD indica ataque pela rede, baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade (nota base 9.8).
Uma injeção de SQL bem-sucedida poderia permitir leitura, alteração ou exclusão de dados da aplicação, dependendo das permissões do banco. Isso é uma inferência a partir do tipo de fraqueza, não um resultado confirmado.
A VulDB e o CNA publicam notas menores em outras versões do CVSS (por exemplo 6.9 e 5.5), portanto a gravidade depende da fonte de pontuação consultada.

Produtos e versões afetados

Code-projects Online Product Reservation System, versão 1.0.
Fabian Online Product Reservation System, versão 1.0.

Nenhuma versão corrigida consta no registro. Não presuma que exista correção; confirme com o fornecedor ou com os mantenedores do projeto. Informações do projeto estão em code-projects.

Status de exploração

O catálogo KEV da CISA não lista a CVE-2026-0578, portanto este registro não confirma exploração ativa no ambiente real. A descrição da VulDB afirma que o exploit foi divulgado publicamente e pode ser utilizado, e as referências incluem um exploit público. Os dados SSVC do registro classificam a exploração no nível de prova de conceito. Há valores EPSS, mas a data deles é posterior à data de publicação, por isso devem ser interpretados com cautela.

Correção e mitigação

Restrinja o acesso aos caminhos administrativos a redes e contas confiáveis até que o software seja revisado ou substituído.
Remova ou desative a funcionalidade de exclusão afetada, caso não seja necessária.
Como prática de desenvolvimento seguro, use consultas parametrizadas ou instruções preparadas e validação rigorosa de identificadores no servidor.
Utilize contas de banco com privilégio mínimo para a aplicação web.
Revise o código em busca de padrões semelhantes em outros endpoints administrativos.

Orientação para detecção

Analise logs do servidor web e da aplicação em busca de requisições incomuns a endpoints administrativos de exclusão, especialmente com valores de ID malformados ou inesperados.
Monitore mensagens de erro de banco de dados retornadas aos clientes, que podem indicar tentativas de injeção.
Gere alertas para picos de requisições a caminhos administrativos vindas de origens desconhecidas.

Limitações das informações disponíveis

O registro não especifica quais versões ou builds além da 1.0 contêm o código vulnerável.
Nenhum aviso do fornecedor ou versão corrigida está listado.
A funcionalidade exata afetada é descrita apenas como funcionalidade não especificada de delete.php.
O registro não explica a relação entre os dois produtos listados.

Perguntas frequentes

A CVE-2026-0578 está sendo explorada ativamente?

O catálogo KEV da CISA não lista esta CVE, portanto o registro não confirma exploração ativa. Há uma referência a exploit público, por isso priorize a restrição de acesso e a mitigação.

Existe uma versão corrigida do produto afetado?

O registro não lista versão corrigida. Confirme o status com o fornecedor ou com os mantenedores do projeto antes de presumir que há correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.