CVE-2026-1533: Injeção de SQL no Online Music Site 1.0 da code-projects em AdminAddCategory.php

Visão geral

O registro descreve uma falha de injeção de SQL (CWE-89) no code-projects Online Music Site 1.0. O elemento afetado é uma função não identificada no arquivo /Administrator/PHP/AdminAddCategory.php, segundo a descrição baseada na VulDB. A falha pode ser acionada remotamente, e o registro informa que um exploit foi divulgado publicamente.

Impacto

Uma injeção de SQL pode permitir que um atacante interaja com o banco de dados da aplicação, com potencial de leitura, alteração ou remoção de dados, conforme a configuração e os privilégios existentes. A NVD atribui 9,8 (crítica) no CVSS 3.1, com vetor de rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. As pontuações fornecidas pela CNA são menores, incluindo 4,7 no CVSS 3.1, 5,8 no CVSS 2.0 e 2 no CVSS 4.0, por isso a severidade local deve ser verificada no ambiente real.

Produtos e versões afetadas

Produto citado na descrição: code-projects Online Music Site 1.0.
Produto citado no campo de afetados: Fabian Online Music Site, versão 1.0.

Os nomes dos produtos diferem, então os administradores devem confirmar qual base de código utilizam. O registro não lista outras versões afetadas.

Status de exploração

O registro não consta no catálogo CISA KEV, portanto esta análise não afirma exploração ativa. A descrição diz que o exploit foi divulgado publicamente e pode ser usado em ataques, e uma issue no GitHub está marcada como referência de exploit. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Correção e mitigação

O registro não lista versão corrigida. A única referência relacionada a correção é uma mitigação em uma issue de terceiros no GitHub.
Restrinja o acesso ao diretório administrativo a redes confiáveis até que o código seja revisado.
Revise como o AdminAddCategory.php trata as entradas e substitua consultas SQL montadas por texto por consultas parametrizadas ou prepared statements.
Remova ou desative a aplicação se ela não for necessária, e avalie se o código original ainda é mantido antes de reutilizá-lo.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições incomuns ao endpoint administrativo de categorias, especialmente com parâmetros malformados ou inesperados.
Monitore mensagens de erro do banco de dados e padrões de consulta inesperados originados da conta usada pela aplicação web.
Use alertas de firewall de aplicação web quando disponíveis, lembrando que filtros não substituem a correção do código.

Limitações das informações disponíveis

O registro não identifica o parâmetro vulnerável, uma versão corrigida, um aviso do fornecedor ou dados de EPSS. As pontuações CVSS e da CNA divergem, e o nome do produto na descrição não corresponde ao campo de produtos afetados. Detalhes de fornecedor e versão devem ser verificados antes de serem usados.

Perguntas frequentes

O CVE-2026-1533 está sendo explorado ativamente?

O registro não consta no CISA KEV e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A descrição afirma que um exploit foi divulgado publicamente, então o risco de uso oportunista deve ser levado a sério.

Existe uma versão corrigida disponível?

O registro não lista versão corrigida. Há apenas uma referência de mitigação em uma issue de terceiros no GitHub, por isso os administradores devem restringir o acesso e revisar o código.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.