CVE-2026-1535: Injeção de SQL no Online Music Site da code-projects em AdminReply.php
A CVE-2026-1535 descreve uma injeção de SQL no Online Music Site 1.0 da code-projects, localizada em /Administrator/PHP/AdminReply.php por meio do argumento ID. O NVD classifica a severidade como CVSS 3.1 9.8 (Crítica), e o registro informa que um exploit foi divulgado publicamente. O catálogo KEV da CISA não lista a vulnerabilidade e o registro não informa versão corrigida.
Visão geral
O registro da CVE descreve uma injeção de SQL no Online Music Site 1.0 da code-projects, no arquivo /Administrator/PHP/AdminReply.php, em que o argumento ID é tratado de forma insegura. A CNA classifica a fraqueza como CWE-74 (Injeção).
Impacto
- O NVD atribui pontuação CVSS 3.1 9.8 (Crítica), com vetor de rede, baixa complexidade, sem necessidade de privilégios e sem interação do usuário, além de alto impacto em confidencialidade, integridade e disponibilidade.
- A CNA VulDB apresenta outras pontuações: 5.5 na versão 4.0, 7.3 na 3.1 e 7.5 na 2.0.
- Injeções de SQL, de modo geral, podem permitir leitura ou alteração não autorizada do conteúdo do banco de dados. O registro não descreve as consequências específicas observadas nesta aplicação.
Produtos e versões afetadas
- O registro indica a versão 1.0. A entrada de afetados nomeia Fabian Online Music Site, enquanto a descrição nomeia code-projects Online Music Site. Essa divergência deve ser verificada com o fornecedor ou com as referências do projeto.
- O registro não informa versão corrigida.
Status de exploração
- Esta CVE não aparece como listada no catálogo KEV da CISA no registro analisado, portanto não há exploração ativa confirmada nas fontes consultadas.
- O registro informa que o exploit foi divulgado publicamente e pode ser utilizado.
Correção e mitigação
- O registro aponta para uma entrada de mitigação em um rastreador de issues público. O conteúdo dessa página não foi revisado nesta análise.
- Restrinja o acesso a caminhos administrativos apenas a redes e contas confiáveis.
- Solicite ao fornecedor ou ao mantenedor do projeto uma correção oficial e aplique-a assim que disponível.
- Se não houver correção, considere desativar ou isolar a aplicação até que ela possa ser revisada.
Orientações de detecção
- Revise os logs do servidor web em busca de requisições incomuns ou malformadas dirigidas a AdminReply.php.
- Monitore erros de banco de dados originados por essa aplicação.
- Audite contas administrativas e alterações recentes nos dados gerenciados pela aplicação.
Limitações das informações disponíveis
- O registro não contém versão corrigida nem aviso oficial do fornecedor.
- O nome do produto diverge entre a descrição e a lista de afetados.
- Dados de EPSS e SSVC estão ausentes, portanto a probabilidade de exploração é desconhecida.
- O registro não reconcilia as diferentes pontuações CVSS do NVD e da CNA.
Perguntas frequentes
O que é a CVE-2026-1535?
É uma injeção de SQL no Online Music Site 1.0 da code-projects, afetando o argumento ID em /Administrator/PHP/AdminReply.php, segundo o registro.
Há exploração ativa conhecida?
O registro não a lista no catálogo KEV da CISA, portanto não há exploração ativa confirmada nas fontes consultadas. O registro informa, porém, que um exploit foi divulgado publicamente.
Existe versão corrigida?
O registro não informa versão corrigida. Ele aponta para uma entrada de mitigação em um rastreador público, e deve-se solicitar ao fornecedor ou mantenedor uma correção oficial.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.