CVE-2026-0700: Injeção de SQL em check_admin.php do Intern Membership Management System da code-projects
A CVE-2026-0700 é uma falha de injeção de SQL (CWE-89) no arquivo /intern/admin/check_admin.php do Intern Membership Management System da code-projects, versão 1.0, acionada pelo argumento Username e acessível remotamente. A NVD classifica como crítica, com pontuação CVSS base de 9,8, e o registro informa que um exploit público foi divulgado. O registro não mostra inclusão no catálogo KEV da CISA, e nenhuma exploração confirmada no campo aparece nas fontes consultadas.
Visão geral
O registro descreve uma falha de injeção de SQL (CWE-89) no arquivo /intern/admin/check_admin.php do Intern Membership Management System 1.0 da code-projects. Segundo a descrição, a manipulação do argumento Username pode levar a injeção de SQL, e o ataque pode ser executado remotamente.
Impacto
- Se explorada, a falha poderia permitir que um atacante leia, altere ou remova dados do banco, dependendo da configuração aplicação e banco. Isso é uma inferência baseada na classe CWE e na descrição, não um resultado verificado.
- A NVD atribui pontuação CVSS base de 9,8 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade.
- A VulDB e seu registro de CNA listam pontuações menores, entre 5,5 e 7,5, em outras versões do CVSS. A severidade depende, portanto, da fonte da pontuação.
- Os dados SSVC do registro indicam status de exploração poc, automatizável sim e impacto técnico parcial.
Produtos e versões afetadas
- O registro traz dois nomes de produto: Carmelo Intern Membership Management System e Code-projects Intern Membership Management System.
- A única versão listada para ambos é 1.0.
- O registro não informa versão corrigida nem informações de correção do fornecedor.
Status de exploração
- O catálogo KEV da CISA não lista este CVE no registro, portanto a exploração ativa não é confirmada por essa fonte.
- Nenhuma exploração confirmada no campo aparece nas fontes consultadas.
- O registro informa que um exploit foi divulgado publicamente e referencia um relato de terceiros. Há, portanto, disponibilidade pública de prova de conceito documentada, mas o registro não mostra o alcance de seu uso.
- A probabilidade EPSS no registro é 0,00441 (percentil 0,37268), indicando baixa probabilidade prevista de exploração na data do registro.
Correção e mitigação
- Nenhuma correção do fornecedor aparece no registro. Verifique com os mantenedores do projeto ou na fonte do produto se há versão atualizada, e trate a versão 1.0 como sem correção até que se prove o contrário.
- Restrinja o acesso aos caminhos /intern/admin a redes confiáveis ou usuários autenticados, e retire a aplicação da exposição à internet se ela não for necessária.
- Peça às equipes de desenvolvimento que revisem consultas ao banco que usem entradas do usuário, aplicando consultas parametrizadas e validação rigorosa de entradas.
- Considere um firewall de aplicação web como controle compensatório temporário, ciente de que ele não substitui a correção no código.
Orientações de detecção
- Revise os logs do servidor web em busca de requisições incomuns ou repetidas a check_admin.php, especialmente com valores anormais em Username ou respostas de tamanho inesperado.
- Observe mensagens de erro do banco retornadas a clientes e logins administrativos inesperados.
- Verifique os logs de autenticação em busca de acessos bem-sucedidos de origens desconhecidas após qualquer atividade suspeita.
Limitações das informações disponíveis
- O registro não identifica o trecho exato de código vulnerável, o tratamento do parâmetro afetado nem os requisitos de autenticação do endpoint.
- O registro não inclui versão corrigida, aviso do fornecedor ou patch.
- A data do EPSS no registro é posterior à data de publicação, por isso o valor deve ser conferido na fonte atual antes do uso.
- As pontuações de diferentes CNAs e versões do CVSS divergem, e esta análise não resolve essa diferença.
Perguntas frequentes
O CVE-2026-0700 está sendo explorado ativamente?
O registro não lista este CVE no catálogo KEV da CISA, e nenhuma exploração confirmada no campo aparece nas fontes consultadas. O registro informa que um exploit foi divulgado publicamente.
Quais versões são afetadas?
A única versão listada no registro é a 1.0 do Intern Membership Management System da code-projects. O registro não informa versão corrigida.
O que os administradores devem fazer agora?
Restrinja o acesso aos caminhos administrativos, revise o tratamento de entradas nas consultas ao banco, monitore os logs em busca de requisições incomuns a check_admin.php e consulte os mantenedores sobre uma versão atualizada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.