CVE-2026-0605: code-projects Online Music Site: injeção de SQL em login.php
A CVE-2026-0605 é uma falha de injeção de SQL no arquivo login.php do code-projects Online Music Site 1.0, acessível pelos argumentos username e password. A NVD atribui pontuação base 9.8 com vetor de rede e sem necessidade de privilégios, e a VulDB a classifica como crítica. O registro informa que um exploit foi divulgado publicamente, mas a CISA KEV não lista esta CVE e o registro não traz correção do fornecedor.
Visão geral
A CVE-2026-0605 afeta o componente login.php do code-projects Online Music Site 1.0. O registro classifica a fraqueza como CWE-89 (injeção de SQL) e indica que os argumentos username e password estão envolvidos. Os detalhes vêm da VulDB e da NVD, conforme os links abaixo.
Impacto
- A NVD atribui pontuação 9.8 à falha, com alto impacto em confidencialidade, integridade e disponibilidade, e vetor de ataque pela rede.
- As pontuações da VulDB presentes no registro variam de 5.5 a 7.3 conforme a versão do sistema de pontuação, por isso a classificação de severidade difere entre as fontes.
- A avaliação SSVC indica impacto técnico parcial.
Produtos e versões afetados
- Code-projects Online Music Site, versão 1.0.
- Fabian Online Music Site, versão 1.0, também listado no registro para a mesma vulnerabilidade.
- O registro não lista outras versões.
Status de exploração
O registro informa que o exploit foi divulgado publicamente. A CISA KEV não lista esta CVE, portanto não há exploração ativa confirmada nas fontes consultadas. A avaliação SSVC classifica a exploração como prova de conceito, e a probabilidade EPSS é 0.00441, com percentil de 0.37267.
Correção e mitigação
- O registro não indica versão corrigida. Consulte o code-projects.org para verificar atualizações e confirmar se o projeto ainda é mantido.
- Enquanto não houver correção confirmada, restrinja o acesso à aplicação a redes confiáveis e retire-a da exposição à internet sempre que possível.
- Substitua o SQL dinâmico da lógica de login por consultas parametrizadas e valide as entradas no servidor.
- Revise a conta de banco de dados usada pela aplicação e limite seus privilégios.
Orientação para detecção
- Analise os logs do servidor web e da aplicação em busca de requisições de login com caracteres incomuns ou valores malformados nos campos de usuário e senha.
- Monitore o endpoint de autenticação para identificar anomalias e erros inesperados de banco de dados.
- Considere regras de firewall de aplicação web que alertem sobre sintaxe SQL em parâmetros de autenticação, ajustadas para reduzir falsos positivos.
Limitações das informações disponíveis
- O registro não inclui aviso do fornecedor, versão corrigida ou patch.
- O registro não informa se a listagem Fabian Online Music Site se refere à mesma base de código.
- Os detalhes do exploit não são reproduzidos aqui. A entrada da VulDB descreve o problema.
Perguntas frequentes
O que é a CVE-2026-0605?
É uma vulnerabilidade de injeção de SQL no arquivo login.php do code-projects Online Music Site 1.0, envolvendo os argumentos username e password.
Existe versão corrigida?
O registro não lista versão corrigida nem patch. Consulte o site do fornecedor e confirme o status de manutenção do projeto antes de depender de uma atualização.
Esta vulnerabilidade está sendo explorada ativamente?
O registro informa que um exploit foi divulgado publicamente, mas a CISA KEV não lista esta CVE e não há exploração ativa confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.