CVE-2026-0607: Injeção de SQL em AdminViewSongs.php do Online Music Site da code-projects
Foi divulgada uma falha de injeção de SQL (CWE-89) no code-projects Online Music Site 1.0, no arquivo /Administrator/PHP/AdminViewSongs.php, por meio do argumento ID. O registro indica que o problema pode ser explorado remotamente e que um exploit público foi publicado. Nenhuma versão corrigida aparece nas fontes disponíveis.
Visão geral
A CVE-2026-0607 afeta o code-projects Online Music Site 1.0. O registro situa a falha no arquivo /Administrator/PHP/AdminViewSongs.php e a associa a injeção de SQL pela manipulação do argumento ID, classificada como CWE-89. A fonte descreve o problema como acionável remotamente.
Impacto
- A injeção de SQL pode permitir que um atacante influencie consultas ao banco de dados. As consequências reais dependem das permissões do banco e da configuração da aplicação, que as fontes não detalham (inferência).
- O NVD atribui pontuação base CVSS de 9.8 (crítica), e o vetor indicado marca confidencialidade, integridade e disponibilidade como altas. As pontuações de outros provedores no registro variam de 5.5 a 7.5.
Produtos e versões afetadas
- Code-projects Online Music Site, versão 1.0.
- Fabian Online Music Site, versão 1.0, também consta no registro.
- As fontes não identificam outras versões afetadas.
Status de exploração
O registro não inclui a CVE-2026-0607 no catálogo CISA KEV, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A descrição informa que um exploit foi publicado e pode ser utilizado, e as referências incluem materiais de terceiros marcados como exploit.
Correção e mitigação
- O registro não informa versão corrigida. Se o fornecedor ou o projeto lançou correção é desconhecido.
- Restrinja o acesso à área administrativa da aplicação a redes e contas confiáveis.
- Se não houver correção, considere tirar a aplicação afetada do ar ou isolá-la até que o tratamento das entradas seja revisado.
- Revise como o parâmetro ID é tratado e garanta que as consultas usem instruções parametrizadas.
Orientações de detecção
- Analise os logs do servidor web e da aplicação em busca de requisições ao AdminViewSongs.php com valores inesperados ou malformados no parâmetro ID.
- Monitore mensagens de erro do banco de dados originadas nesse endpoint, pois podem indicar entradas chegando às consultas de forma insegura.
- Gere alertas para volumes incomuns de requisições a páginas administrativas vindas de endereços externos.
Limitações das informações disponíveis
O registro não traz versão corrigida, detalhes de aviso do fornecedor nem faixa de versões além da 1.0. As fontes não confirmam exploração. As pontuações CVSS diferem entre provedores, e o componente afetado é descrito apenas como uma parte não especificada do arquivo.
Perguntas frequentes
A CVE-2026-0607 está sendo explorada ativamente?
O registro não a inclui no catálogo CISA KEV, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A descrição informa que um exploit público foi publicado e pode ser utilizado.
Quais versões são afetadas?
O registro lista o code-projects Online Music Site na versão 1.0 e o Fabian Online Music Site na versão 1.0. Nenhuma outra versão é identificada nas fontes.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.