CVE-2026-0591: Injeção de SQL no manipulador de atualização de carrinho do Online Product Reservation System da code-projects
Uma falha de injeção de SQL (CWE-74) no manipulador de atualização de carrinho do code-projects Online Product Reservation System 1.0 pode ser acionada remotamente. A NVD lista pontuação base 9,8, e o registro afirma que há exploit público. Nenhuma versão corrigida aparece nas fontes consultadas.
Visão geral
O registro descreve uma falha de injeção de SQL no manipulador de atualização do carrinho do code-projects Online Product Reservation System 1.0. O arquivo afetado é /app/checkout/update.php, e o registro classifica a fraqueza como CWE-74 (Injeção).
Impacto
- O vetor registrado indica alto impacto sobre confidencialidade, integridade e disponibilidade, com vetor de ataque pela rede e sem necessidade de privilégios ou interação do usuário.
- Uma injeção bem-sucedida poderia permitir que uma parte remota influencie consultas ao banco de dados, podendo expor ou alterar dados armazenados. Isso é uma inferência a partir da classe da vulnerabilidade e da pontuação, não um resultado testado.
Produtos e versões afetados
- Code-projects Online Product Reservation System, versão 1.0.
- Fabian Online Product Reservation System, versão 1.0, também listado no registro.
- Nenhuma outra versão aparece nas fontes consultadas.
Status de exploração
- O registro afirma que há exploit público disponível e que ele pode ser utilizado.
- O registro indica que este CVE não consta no catálogo KEV da CISA. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
- Os dados SSVC do registro classificam a exploração como prova de conceito e a automatização como não.
Correção e mitigação
- Nenhuma versão corrigida aparece no registro. A ausência de correção listada é um status desconhecido, não prova de que não exista correção.
- Verifique as fontes do projeto e do fornecedor em busca de uma versão corrigida ou de um comunicado oficial.
- Até que uma correção seja confirmada, restrinja o acesso à aplicação, limite a exposição à internet quando possível e revise se os componentes de checkout estão acessíveis.
- Se o código é mantido pela sua equipe, aplique validação de entrada e consultas parametrizadas na lógica de checkout.
Orientação de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns ao endpoint de atualização do checkout, sobretudo valores malformados ou inesperados nos parâmetros de atualização do carrinho.
- Observe mensagens de erro de banco de dados retornadas a clientes, que podem indicar tentativas de manipulação de consultas.
- Confirme se a cópia implantada corresponde à versão afetada 1.0.
Limitações das informações disponíveis
- O registro não descreve em detalhes o código vulnerável.
- O registro não confirma uma correção nem uma versão corrigida.
- O registro não descreve quais tabelas ou dados seriam afetados.
- A probabilidade EPSS registrada é 0,00367, o que não compensa a alta pontuação base nem a existência de exploit público.
Perguntas frequentes
Quais versões são afetadas pelo CVE-2026-0591?
O registro lista o code-projects Online Product Reservation System versão 1.0 e o Fabian Online Product Reservation System versão 1.0. Nenhuma outra versão aparece nas fontes consultadas.
Esta vulnerabilidade está sendo explorada ativamente?
O registro afirma que há exploit público disponível, mas não lista este CVE no catálogo KEV da CISA. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Existe correção para este problema?
Nenhuma versão corrigida aparece no registro. Verifique as fontes do projeto e do fornecedor em busca de correção e restrinja o acesso à aplicação até que uma correção seja confirmada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.