CVE-2026-0585: Injeção de SQL em order_view.php no Online Product Reservation System da code-projects

Visão geral

A CVE-2026-0585 é uma vulnerabilidade de injeção de SQL no arquivo order_view.php do Online Product Reservation System 1.0 da code-projects. A falha é acionada pelo parâmetro GET transaction_id e está classificada na CWE-74 (Injeção). O registro foi publicado em 2026-01-05, tendo a VulDB como CNA.

Impacto

Uma injeção de SQL em aplicação web pode permitir que um atacante influencie consultas ao banco de dados, o que pode levar à exposição, alteração ou remoção de dados armazenados, conforme a configuração do banco e os privilégios da conta da aplicação. A pontuação CVSS base da NVD é 9,8, e o vetor indica impacto alto em confidencialidade, integridade e disponibilidade. As pontuações da VulDB no registro são menores, entre 5,5 e 7,3, por isso a gravidade depende da avaliação consultada. Os dados SSVC do registro classificam o impacto técnico como parcial.

Produtos e versões afetadas

O registro lista o Code-projects Online Product Reservation System, versão 1.0.
O registro também lista o Fabian Online Product Reservation System, versão 1.0.
Nenhuma versão corrigida é listada. Isso não confirma que não exista correção, portanto o status de correção é desconhecido.

Status de exploração

O registro informa que o exploit foi divulgado publicamente e pode ser utilizado. A CVE não consta como listada no catálogo KEV da CISA no registro, portanto não há exploração ativa confirmada nas fontes consultadas. O campo de exploração SSVC está definido como prova de conceito. A probabilidade EPSS é 0,00441, com percentil de 0,37268.

Correção e mitigação

Identifique implantações desta aplicação e verifique se elas estão acessíveis a partir de redes não confiáveis.
Restrinja o acesso à aplicação afetada até que o mantenedor disponibilize uma versão corrigida ou até que o código seja revisado e fortalecido.
Use consultas parametrizadas ou prepared statements em todos os acessos ao banco em order_view.php e valide transaction_id no servidor.
Limite os privilégios de banco de dados concedidos à conta da aplicação web.
Acompanhe o site do produto e a entrada da VulDB em busca de atualizações.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições a order_view.php com valores de transaction_id inesperados ou não numéricos.
Procure mensagens de erro de banco de dados devolvidas ao cliente, que podem indicar que entradas malformadas chegam às consultas.
Monitore atividades incomuns no banco de dados originadas pela conta da aplicação web.
Uma regra de firewall de aplicação web pode servir como controle compensatório temporário, mas deve ser testada para limitar falsos positivos.

Limitações das informações disponíveis

O registro não fornece versão corrigida, patch do fornecedor, causa raiz detalhada no código afetado nem dados confirmados de exploração. A descrição indica o componente GET Parameter Handler e trata a função afetada como desconhecida. As pontuações vêm de provedores e versões de sistemas de pontuação diferentes e não devem ser médias entre si. A inclusão do produto Fabian segue o que consta no registro.

Perguntas frequentes

A CVE-2026-0585 está sendo explorada ativamente?

O registro informa que um exploit foi divulgado publicamente, mas a CVE não consta como listada no KEV da CISA no registro. Não há exploração confirmada na natureza nas fontes consultadas.

Quais versões são afetadas?

O registro lista a versão 1.0 do Online Product Reservation System da code-projects e a versão 1.0 do Fabian Online Product Reservation System. Nenhuma versão corrigida é listada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.