CVE-2026-1545: Injeção de SQL no itsourcecode School Management System em /course/index.php
A CVE-2026-1545 é uma fraqueza de injeção de SQL relatada no itsourcecode School Management System 1.0, no arquivo /course/index.php. O registro indica que pode ser explorada remotamente e que há um exploit público disponível, e a NVD a classifica com 9.8 no CVSS 3.1. O registro não lista versão corrigida, apenas uma referência de mitigação, e a CVE não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-1545 é uma fraqueza de injeção de SQL relatada no itsourcecode School Management System 1.0, envolvendo uma função não especificada no arquivo /course/index.php em que o argumento ID está envolvido. A CVE foi publicada em 28/01/2026 e a CNA é a VulDB. A NVD a classifica com 9.8 no CVSS 3.1.
Impacto
- O registro indica que a manipulação bem-sucedida do argumento ID pode levar a injeção de SQL.
- O vetor CVSS 3.1 da NVD descreve ataque pela rede, sem necessidade de privilégios e sem interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade.
- O CWE atribuído é o CWE-74 (Injeção), enquanto a descrição se refere especificamente a injeção de SQL.
Produtos e versões afetados
- A descrição cita o itsourcecode School Management System 1.0.
- O campo estruturado de produto afetado indica Angeljudesuarez School Management System, versão 1.0.
- Os nomes não coincidem, por isso a correta atribuição de fornecedor e produto não pode ser confirmada apenas com o registro.
Status de exploração
- O registro informa que um exploit foi disponibilizado ao público.
- A CVE não consta no catálogo KEV da CISA nos dados consultados, portanto não há exploração ativa confirmada nas fontes consultadas.
Correção e mitigação
- Nenhuma versão corrigida é listada. A única entrada de correção é uma referência de mitigação em um rastreador de problemas de terceiros.
- Organizações que usam este software devem consultar o fornecedor ou mantenedor para verificar uma versão atualizada e revisar a orientação de mitigação na referência indicada.
- Enquanto nenhuma correção for confirmada, considere restringir a exposição de rede da aplicação, limitar o acesso às funções administrativas e de gestão de cursos e verificar se o tratamento de entradas no arquivo afetado utiliza consultas parametrizadas.
Orientações de detecção
- Analise os logs do servidor web e da aplicação em busca de requisições incomuns para /course/index.php com valores anormais no parâmetro ID.
- Monitore erros de banco de dados e comportamento inesperado de consultas originados da aplicação.
- Considere regras de monitoramento de aplicações web em nível geral e teste-as antes da implantação para evitar falsos positivos.
Limitações das informações disponíveis
- Nenhuma versão corrigida é informada no registro.
- A nomenclatura de fornecedor e produto é inconsistente entre a descrição e o campo de produto afetado.
- As pontuações CVSS variam por provedor: NVD 3.1 com 9.8; VulDB 4.0 com 5.5, 3.1 com 7.3 e 2.0 com 7.5.
- Não há dados de EPSS nem de SSVC, e o status KEV está registrado como não listado.
Perguntas frequentes
O que é a CVE-2026-1545?
É uma fraqueza de injeção de SQL relatada no itsourcecode School Management System 1.0, no arquivo /course/index.php, segundo o registro.
Esta vulnerabilidade está sendo explorada ativamente?
O registro informa que há um exploit público disponível, mas a CVE não consta no catálogo KEV da CISA nos dados consultados, portanto não há exploração ativa confirmada nas fontes consultadas.
Existe uma versão corrigida?
O registro não lista versão corrigida. Há apenas uma referência de mitigação, por isso os administradores devem consultar o fornecedor ou mantenedor para obter uma atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.