CVE-2026-0592: Injeção de SQL no registro de usuários do Online Product Reservation System da code-projects

Visão geral

O registro descreve uma falha de injeção de SQL no manipulador de registro de usuários do Online Product Reservation System 1.0 da code-projects. O arquivo afetado é /handgunner-administrator/register_code.php, e a descrição indica que os argumentos fname, lname, address, city, province, country, zip, tel_no, email e username podem ser manipulados para causar injeção de SQL. O registro classifica a fraqueza como CWE-74 (Injection). Os detalhes vêm da entrada da NVD e do registro do CVE.

Impacto

A NVD atribui 9.8 sob CVSS, com vetor de rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade. Essa é a pontuação confirmada pela NVD no registro.
Outras pontuações presentes no registro, de VulDB e de outros provedores, variam de 5.5 a 7.5. As notas diferem conforme o provedor e o método, então a classificação crítica deve ser lida com essa ressalva.
Os dados SSVC do registro indicam que a falha é automatizável, com impacto técnico parcial.
As consequências práticas de uma injeção bem-sucedida dependem das permissões do banco de dados e da implantação da aplicação, o que o registro não descreve.

Produtos e versões afetadas

O registro lista o Code-projects Online Product Reservation System, versão 1.0.
O registro também lista o Fabian Online Product Reservation System, versão 1.0.
Nenhuma outra versão aparece no registro. Não é possível saber, a partir dos dados disponíveis, se versões posteriores ou anteriores são afetadas.

Status de exploração

A descrição afirma que um exploit foi divulgado publicamente e pode ser usado em ataques. O registro inclui uma referência de terceiros marcada como exploit.
O CVE não consta no catálogo KEV da CISA no registro, portanto não há confirmação de exploração ativa por essa fonte.
Nenhuma exploração ativa confirmada aparece nas fontes consultadas. O valor de exploração SSVC no registro é 'poc', que indica disponibilidade de prova de conceito.

Correção e mitigação

O registro não informa versão corrigida. A ausência de correção listada não significa que ela não exista, e a situação deve ser verificada com o fabricante ou mantenedor do projeto e no site da code-projects.
Restrinja o acesso ao componente de registro e ao caminho administrativo até que o código seja revisado, principalmente se a aplicação estiver exposta à internet.
Revise o código para que todas as consultas ao banco usem instruções parametrizadas e que a validação de entrada ocorra no servidor. Trata-se de medida defensiva geral, não de correção confirmada pelas fontes.
Considere um firewall de aplicação web como controle compensatório temporário, reconhecendo que ele pode não bloquear todas as variações.

Orientações de detecção

Analise os logs do servidor web em busca de requisições incomuns ou repetidas para register_code.php, especialmente com tamanhos anormais ou caracteres inesperados nos campos de cadastro.
Monitore os logs do banco de dados e os erros da aplicação em busca de erros de sintaxe SQL originados no fluxo de registro.
Audite contas de usuário criadas recentemente em busca de conteúdo inesperado nos campos de nome, endereço, e-mail ou usuário.

Limitações das informações disponíveis

O registro não identifica a função vulnerável exata, o mecanismo de banco de dados, os requisitos de autenticação do registro nem a existência de correção oficial.
Os valores EPSS do registro (probabilidade 0.00441, percentil 0.37268) são estimativas e não confirmam exploração.
As pontuações de diferentes provedores divergem, e o registro não explica os motivos das diferenças.

Perguntas frequentes

O que é a CVE-2026-0592?

É uma falha de injeção de SQL relatada no manipulador de registro de usuários do Online Product Reservation System 1.0 da code-projects, no arquivo register_code.php.

Qual é a gravidade?

A NVD atribui 9.8 (crítica). Outros provedores no registro pontuam entre 5.5 e 7.5.

Há exploração ativa?

O CVE não consta no catálogo KEV da CISA e não há exploração ativa confirmada nas fontes consultadas. A descrição afirma que um exploit foi divulgado publicamente.

Existe versão corrigida?

O registro não informa versão corrigida. Verifique com o mantenedor do projeto ou o fabricante antes de presumir que há correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.