CVE-2026-0852: Injeção de SQL em AdminUpdateUser.php do code-projects Online Music Site

Visão geral

A falha de injeção de SQL, classificada como CWE-74 (Injection) no registro, afeta o code-projects Online Music Site 1.0. O problema está em uma função não identificada do arquivo /Administrator/PHP/AdminUpdateUser.php, onde o argumento ID não é tratado de forma segura. O registro indica que o problema pode ser acionado remotamente.

Impacto

A NVD atribui pontuação CVSS 9.8 (crítica), que reflete alto impacto na confidencialidade, integridade e disponibilidade segundo o vetor informado.
Outras pontuações do registro são menores, incluindo 7.3 e 5.5 de provedores diferentes, então a gravidade depende da fonte de pontuação considerada.
Os dados SSVC do registro classificam o impacto técnico como parcial.

Produtos e versões afetados

Code-projects Online Music Site, versão 1.0.
Fabian Online Music Site, versão 1.0, também listado no registro.
O registro não informa nenhuma versão corrigida.

Status de exploração

O registro afirma que um exploit foi divulgado publicamente. O catálogo KEV da CISA não lista esta CVE nos dados consultados, por isso não há confirmação de exploração ativa no ambiente real neste momento. Entre as referências há uma issue no GitHub marcada como exploit; o conteúdo dela não é reproduzido nesta análise.

Correção e mitigação

Verifique se há implantações desta aplicação e se ela ainda é necessária.
Restrinja o acesso às áreas administrativas a redes e contas confiáveis enquanto o problema não for resolvido.
O registro não documenta correção do fornecedor; trate o status de correção como desconhecido e confirme com o mantenedor ou com o fornecedor indicado em code-projects.org.
No desenvolvimento, consultas parametrizadas e validação rigorosa de parâmetros de identificação eliminam essa classe de falha.
Desative ou remova a aplicação caso ela não esteja em uso.

Orientação para detecção

Analise os logs do servidor web e da aplicação em busca de requisições ao script administrativo de gerenciamento de usuários com caracteres incomuns ou valores anormais no parâmetro ID.
Observe erros de banco de dados em respostas das páginas administrativas, pois podem indicar tentativas de injeção.

Limitações das informações disponíveis

O registro não identifica a função vulnerável nem a linha de código exata.
Não há versão corrigida, patch ou aviso do fornecedor listado.
Não se sabe se o produto ainda recebe manutenção.
As fontes divergem quanto à gravidade, então as pontuações devem ser interpretadas com cautela.

Perguntas frequentes

Esta injeção de SQL pode ser explorada remotamente?

O registro afirma que o ataque pode ser executado remotamente. Ele também indica que um exploit público foi divulgado, o que eleva o risco para instâncias expostas.

Existe correção confirmada para a CVE-2026-0852?

O registro não lista versão corrigida nem patch. O status de correção é desconhecido, então confirme com o mantenedor ou fornecedor e restrinja o acesso à área administrativa enquanto isso.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.