CVE-2026-0583: Injeção de SQL no login de usuário (login.php) do Online Product Reservation System da code-projects

Visão geral

O registro descreve uma fraqueza de injeção de SQL (classificada como CWE-74, Injection) no script de login de usuário app/user/login.php do code-projects Online Product Reservation System 1.0. O dado afetado é o argumento emailadd. Os detalhes estão resumidos na entrada do NVD e na entrada da VulDB.

Impacto

O vetor do NVD presente no registro indica alto impacto sobre confidencialidade, integridade e disponibilidade.
O registro não descreve quais dados ou tabelas poderiam ser acessados, por isso o alcance prático depende do banco de dados usado pela lógica de login, o que é desconhecido com as informações disponíveis.
Uma injeção bem-sucedida em um fluxo de login pode permitir que um terceiro remoto, sem autenticação, influencie consultas ao banco de dados.

Produtos e versões afetadas

Code-projects Online Product Reservation System, versão 1.0 (site do fornecedor).
O registro também lista um produto chamado Fabian Online Product Reservation System com a mesma entrada de versão 1.0.
Nenhuma versão corrigida é listada. Uma lista de correções vazia não comprova que não exista correção.

Status de exploração

O registro não lista esta CVE no catálogo KEV da CISA, portanto essa fonte não confirma exploração ativa.
O registro afirma que um exploit foi divulgado publicamente e pode ser usado em ataques.
Os dados SSVC do registro indicam exploração como prova de conceito e marcam o problema como automatizável.
A probabilidade EPSS informada é 0.00441, com percentil de 0.37267.
Nas fontes consultadas não há exploração confirmada na prática.

Correção e mitigação

Identifique qualquer implantação desta aplicação, inclusive bifurcações ou cópias do mesmo código, e trate-as como escopo do problema.
Até que uma correção oficial seja confirmada, restrinja o acesso ao endpoint de login, coloque-o atrás de controles de rede ou de um firewall de aplicação web e limite a exposição a redes confiáveis, sempre que possível.
Para os mantenedores, use consultas parametrizadas ou prepared statements em todo acesso ao banco no fluxo de login e valide entradas no servidor.
Revise os privilégios da conta de banco usada pela aplicação e aplique o princípio do menor privilégio.
Se houver suspeita de comprometimento, troque credenciais e revise a integridade das contas e dos dados.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições de login com valores incomuns ou malformados no campo emailadd.
Observe erros de banco de dados originados no componente de login e picos de falhas de autenticação vindas de uma mesma origem.
Monitore alterações inesperadas em registros de usuários ou consultas incomuns feitas pela conta da aplicação ao banco.

Limitações das informações disponíveis

O registro não fornece o código vulnerável exato, uma declaração do fornecedor nem uma versão corrigida.
As pontuações variam conforme o provedor: a pontuação base do NVD é 9.8, enquanto as pontuações de outros provedores no registro variam de 5.5 a 7.5.
Os achados não foram verificados por testes nesta análise.

Perguntas frequentes

O CVE-2026-0583 está sendo explorado ativamente?

O registro não o lista no catálogo KEV da CISA, e nas fontes consultadas não há exploração confirmada na prática. O registro afirma que um exploit foi divulgado publicamente, o que eleva o risco de exploração.

Qual produto e componente são afetados?

O registro cita o code-projects Online Product Reservation System 1.0, no componente de login de usuário em app/user/login.php, onde o argumento emailadd está envolvido.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.