CVE-2026-0579: Injeção de SQL no tratamento de parâmetros POST (edit.php) do Online Product Reservation System da code-projects

Visão geral

A CVE-2026-0579 é classificada como problema de injeção (CWE-74) no code-projects Online Product Reservation System 1.0. Segundo a entrada da VulDB, o problema está em uma parte não especificada de /handgunner-administrator/edit.php, em um componente descrito como POST Parameter Handler, onde os argumentos prod_id, name, price, model e serial podem ser manipulados para causar injeção de SQL. O registro foi publicado em 04/01/2026 e analisado pela VulDB. Consulte a entrada da VulDB e o registro na NVD.

Impacto

• A NVD atribui pontuação base CVSS de 9,8 (crítica). O vetor descreve ataque acessível pela rede, com baixa complexidade, sem privilégios exigidos e sem interação do usuário.
• Outros provedores no registro atribuem pontuações menores, entre 5,5 e 7,5. As pontuações variam conforme o provedor e a versão do método de cálculo.
• Injeção de SQL em uma página administrativa pode expor ou alterar dados do banco de dados. Os dados exatos afetados não são informados no registro.

Produtos e versões afetadas

• Code-projects Online Product Reservation System, versão 1.0.
• Fabian Online Product Reservation System, versão 1.0, também listado no registro.
• O registro não informa versão corrigida nem correção do fabricante. Não é possível afirmar, com base nas fontes consultadas, se existe correção.

Status de exploração

O catálogo KEV da CISA não lista esta CVE, portanto ela não consta como explorada ativamente nesse catálogo. O registro referencia um texto público de terceiros marcado como exploit, o que indica a existência de prova de conceito pública (referência). Os dados SSVC do registro classificam a exploração no nível de prova de conceito. Não há exploração confirmada no mundo real nas fontes consultadas. A probabilidade EPSS no registro é 0,00435 (percentil 0,3676).

Remediação e mitigação

• Não há correção do fabricante listada. Considere a aplicação sem correção até que o desenvolvedor ou uma revisão própria confirme o contrário.
• Restrinja o acesso ao caminho /handgunner-administrator/ a redes confiáveis ou exija autenticação forte na frente dele.
• Remova a aplicação de sistemas expostos à internet se ela não for necessária.
• Peça a um desenvolvedor que revise como os parâmetros afetados chegam às consultas ao banco e adote consultas parametrizadas com validação de entrada no servidor.
• Limite os privilégios da conta de banco de dados usada pela aplicação ao mínimo necessário.

Orientações de detecção

• Revise os logs do servidor web e da aplicação em busca de requisições à página administrativa de edição com caracteres incomuns ou valores de parâmetro inesperados.
• Observe erros de banco de dados originados pela aplicação e alterações inesperadas nos registros de produtos.
• Verifique se a aplicação está implantada e em qual versão, já que o registro menciona apenas a versão 1.0.

Limitações das informações disponíveis

O registro descreve o local vulnerável apenas como uma parte não especificada do arquivo, por isso o caminho de código vulnerável não está confirmado. Não há versão corrigida, aviso do fabricante nem faixa de versões afetadas além da 1.0. A data EPSS do registro não foi usada na análise. As pontuações diferem entre provedores e devem ser lidas em conjunto.

Perguntas frequentes

Esta CVE está confirmada como explorada ativamente?

O catálogo KEV da CISA não lista esta CVE. As fontes consultadas referenciam uma prova de conceito pública, mas não há exploração confirmada no mundo real nelas.

Quais versões são afetadas?

O registro indica o code-projects Online Product Reservation System versão 1.0 e o Fabian Online Product Reservation System versão 1.0. Não há versão corrigida listada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.