CVE-2026-1534: Injeção de SQL no Online Music Site 1.0 em AdminEditUser.php
Foi relatada uma falha de injeção de SQL no projeto Online Music Site 1.0, da code-projects, no arquivo AdminEditUser.php, por meio do argumento ID. O registro indica que o ataque pode ser iniciado remotamente e que há exploit disponível ao público; a NVD atribui pontuação 9.8 (CVSS 3.1, crítica). O CVE não consta no catálogo KEV da CISA no registro, e as fontes consultadas não mostram exploração confirmada no campo.
Visão geral
O registro descreve uma fraqueza de injeção de SQL no arquivo /Administrator/PHP/AdminEditUser.php do code-projects Online Music Site 1.0. O argumento ID é apontado como a entrada que dispara a falha, e a descrição afirma que o ataque pode ser iniciado remotamente. O CNA responsável pelo registro é a VulDB.
Impacto
- Inferência: uma injeção de SQL bem-sucedida pode permitir que um atacante interfira nas consultas ao banco de dados, o que pode afetar a confidencialidade, a integridade e a disponibilidade dos dados da aplicação.
- O vetor informado pela NVD descreve ataque pela rede, de baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
- A exposição real de dados depende da configuração da aplicação e dos privilégios do banco, que o registro não descreve.
Produtos afetados e versões
- A descrição cita o code-projects Online Music Site 1.0.
- O campo de produto afetado lista Fabian Online Music Site, versão 1.0. Os dois nomes divergem e devem ser conciliados por quem analisar este componente.
- O registro não lista outras versões afetadas.
Status de exploração
- A descrição afirma que um exploit foi disponibilizado ao público. Uma issue do GitHub referenciada pelo registro traz marcações relacionadas a exploit.
- O registro não inclui este CVE no catálogo KEV da CISA. Nas fontes consultadas não há exploração confirmada no campo.
Correção e mitigação
- O registro não traz correção do fornecedor nem versão corrigida. A única entrada de correção é uma referência de mitigação para uma issue de terceiros no GitHub.
- Analise essa issue para detalhes de mitigação e valide qualquer orientação em ambiente de teste antes de aplicá-la.
- Restrinja o acesso às páginas administrativas a redes e contas confiáveis até que o componente seja revisado.
- Peça a um desenvolvedor que revise o trecho de código afetado e aplique consultas parametrizadas e validação rigorosa dos identificadores.
- Se o projeto estiver em uso e não houver correção mantida disponível, planeje a remoção ou a substituição.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições ao caminho AdminEditUser.php com valores incomuns ou malformados no parâmetro ID.
- Observe mensagens de erro de banco de dados devolvidas à aplicação web, que podem indicar tentativas de injeção.
- Considere alertas de firewall de aplicação web para padrões relacionados a SQL em endpoints administrativos, ajustados para limitar falsos positivos.
Limitações das informações disponíveis
- O registro não inclui aviso do fornecedor, versão corrigida nem data de correção.
- O nome do produto diverge entre a descrição e o campo de produto afetado.
- Não há dados de EPSS nem de SSVC. A pontuação CVSS 3.1 da NVD é 9.8. O CNA também informou 5.5 na versão 4.0, 7.3 na versão 3.1 e 7.5 na versão 2.0.
- A classificação CWE é CWE-74 Injection, que é mais ampla do que injeção de SQL.
Perguntas frequentes
O CVE-2026-1534 consta no catálogo KEV da CISA?
Não. O registro indica que o CVE não consta no catálogo KEV da CISA, e as fontes consultadas não mostram exploração confirmada no campo.
Existe correção do fornecedor para este problema?
O registro não lista correção do fornecedor nem versão corrigida. Há apenas uma referência de mitigação para uma issue de terceiros no GitHub, que deve ser analisada e validada antes do uso.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.