CVE-2026-1432: Injeção de SQL no componente tablon da plataforma Buroweb
Uma falha crítica de injeção de SQL (CWE-89) afeta o componente tablon da plataforma Buroweb, versão 2505.0.12, segundo o registro do CNA. Vários parâmetros não higienizam corretamente a entrada do usuário, o que poderia permitir a um atacante executar consultas no banco de dados e acessar informações confidenciais. O registro informa pontuação CVSS 4.0 de 9.3 e não há exploração confirmada nas fontes consultadas.
Visão geral
O registro da CVE descreve uma vulnerabilidade de injeção de SQL (CWE-89) no componente tablon da plataforma Buroweb, versão 2505.0.12. Segundo o registro, vários parâmetros não higienizam corretamente a entrada do usuário em um endpoint da aplicação. A CVE foi publicada em 03/02/2026 por um CNA, o INCIBE-CERT, que também publica um aviso sobre o tema.
Impacto
- O registro afirma que a exploração poderia permitir a um atacante executar consultas no banco de dados.
- O registro afirma que a exploração poderia expor informações confidenciais.
- O CNA atribuiu pontuação base CVSS 4.0 de 9,3 (crítica). O vetor indica alcance pela rede, ausência de privilégios exigidos, ausência de interação do usuário e alto impacto na confidencialidade e na integridade do sistema vulnerável.
Produtos e versões afetados
- Plataforma Buroweb versão 2505.0.12, componente tablon, conforme indicado no registro.
- O registro não contém dados estruturados de versões afetadas ou corrigidas. Se outras versões são afetadas é uma informação desconhecida.
Status de exploração
O registro não inclui esta CVE no catálogo Known Exploited Vulnerabilities da CISA. Não há exploração confirmada nas fontes consultadas. O registro não traz pontuação EPSS.
Correção e mitigação
- Consulte o aviso do INCIBE-CERT e entre em contato com o fornecedor para confirmar se há versão atualizada disponível para a versão afetada.
- Enquanto não houver correção confirmada, limite a exposição de rede da aplicação afetada e restrinja o acesso à funcionalidade tablon apenas a usuários confiáveis, quando possível.
- Solicite ao fornecedor ou à equipe de desenvolvimento a confirmação de que as consultas ao banco usam instruções parametrizadas e de que os parâmetros afetados são validados.
- Aplique o princípio do menor privilégio à conta de banco de dados usada pela aplicação, para reduzir o impacto potencial de exposição de dados.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns ou malformadas dirigidas à página tablon da aplicação Buroweb, especialmente com conteúdo anômalo nos parâmetros ou mensagens de erro de banco nas respostas.
- Monitore volumes inesperados de dados saindo do banco de dados ou do servidor da aplicação.
Limitações das informações disponíveis
- O registro não identifica os parâmetros vulneráveis específicos.
- O registro não inclui versão corrigida, patch ou texto de aviso do fornecedor.
- Não há dados de prova de conceito pública ou de exploração nas fontes fornecidas.
- A pontuação base CVSS vem do CNA; nenhum outro provedor de pontuação consta no registro.
Perguntas frequentes
O que é a CVE-2026-1432?
É uma vulnerabilidade de injeção de SQL (CWE-89) relatada no componente tablon da plataforma Buroweb, versão 2505.0.12, segundo o registro do CNA.
Há registro de exploração ativa desta vulnerabilidade?
O registro não a inclui no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Existe versão corrigida disponível?
O registro não informa nenhuma versão corrigida. Consulte o aviso do INCIBE-CERT e o fornecedor para orientações atualizadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.