CVE-2026-1552: SQL Injection no SEMCMS 5.0 pelo parâmetro searchml em SEMCMS_Info.php

Visão geral

A CVE-2026-1552 é uma fragilidade de injeção de SQL (CWE-89) no SEMCMS versão 5.0, localizada no arquivo /SEMCMS_Info.php por meio do argumento searchml. O registro foi publicado em 29/01/2026 e analisado pelo CNA VulDB. A localização exata do código afetado é descrita como desconhecida.

Impacto

As fontes descrevem a falha como permissiva a injeção de SQL, o que tipicamente pode expor ou alterar dados armazenados no banco de dados da aplicação.
O vetor CVSS 3.1 do NVD indica vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
As consequências reais dependem da implantação e das permissões do banco de dados, que o registro não descreve.

Produtos e versões afetadas

Produto: Sem-cms Semcms
Versão afetada listada: versão 5.0
Nenhuma outra versão afetada, intervalo ou versão corrigida é listada no registro consultado.

Status de exploração

O catálogo KEV não lista esta CVE, portanto a CISA não afirma exploração ativa confirmada nas fontes consultadas. O registro informa que um exploit foi divulgado publicamente e pode ser utilizado, com referência a um item de rastreamento público. Não há exploração confirmada na natureza nas fontes consultadas.

Remediação e mitigação

Consulte os canais do fornecedor ou do projeto em busca de uma versão atualizada; o registro não informa uma versão corrigida.
A única entrada de correção listada é do tipo mitigação e aponta para um rastreador de problemas de terceiros. Analise-a com cuidado antes de aplicar qualquer orientação.
Restrinja o acesso de rede à aplicação afetada sempre que possível e limite a exposição do endpoint SEMCMS_Info.php a usuários confiáveis.
Aplique o princípio do menor privilégio à conta de banco de dados usada pela aplicação.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de valores incomuns ou malformados no parâmetro searchml direcionados a SEMCMS_Info.php.
Monitore mensagens de erro do banco de dados e padrões de consulta inesperados originados da aplicação web.
Considere regras de firewall de aplicação web que gerem alertas para metacaracteres de SQL nesse parâmetro, ajustadas para reduzir falsos positivos.

Limitações das informações disponíveis

O registro não fornece versão corrigida nem correção oficial confirmada; o fornecedor não respondeu à divulgação.
As pontuações de outros provedores (CNA VulDB com CVSS 4.0 de 2.1, CVSS 3.1 de 6.3 e CVSS 2.0 de 6.5) diferem da pontuação do NVD e devem ser lidas em conjunto com ela.
Não há dados de EPSS, SSVC ou KEV disponíveis para esta CVE.
A localização exata do código vulnerável é descrita como desconhecida.

Perguntas frequentes

Qual é o problema central da CVE-2026-1552?

O argumento searchml de /SEMCMS_Info.php no SEMCMS 5.0 é apontado como vulnerável a injeção de SQL, classificada como CWE-89.

Esta CVE é conhecida por ser explorada ativamente?

O catálogo KEV da CISA não lista esta CVE, e não há exploração confirmada na natureza nas fontes consultadas. O registro informa que um exploit foi divulgado publicamente.

Há uma versão corrigida disponível?

O registro não informa uma versão corrigida. A única entrada de correção listada é uma referência de mitigação em um rastreador de terceiros.

O que os defensores devem fazer agora?

Restringir o acesso ao endpoint afetado, aplicar o menor privilégio à conta do banco de dados, monitorar logs em busca de valores anormais em searchml e verificar os canais do fornecedor por atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.