CVE-2026-1589: Injeção de SQL no itsourcecode School Management System 1.0 via txtsearch em /ramonsys/inquiry/index.php

Visão geral

Os registros do NVD e da CVE descrevem uma falha de injeção de SQL no argumento txtsearch do arquivo /ramonsys/inquiry/index.php no itsourcecode School Management System 1.0. O registro indica que o problema pode ser acionado remotamente e que um exploit foi divulgado publicamente.

Impacto

A injeção de SQL pode permitir que um atacante leia, altere ou remova dados do banco, dependendo de como a aplicação e o banco estão configurados. O escore base do NVD é 9.8 (CVSS 3.1, vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), o que indica alcance pela rede, nenhum privilégio exigido e nenhuma interação do usuário. As consequências específicas em cada ambiente são uma inferência e não foram verificadas.

Produtos e versões afetadas

A descrição cita o itsourcecode School Management System, versão 1.0.
O campo de produtos afetados cita o Angeljudesuarez School Management System, versão 1.0. O registro não explica a relação entre os dois nomes.
Os demais escores do registro vêm da VulDB, como CNA: 7.3 (3.1), 5.5 (4.0) e 7.5 (2.0).

Status de exploração

Esta CVE não consta no catálogo KEV da CISA no registro analisado. Nas fontes consultadas não há exploração confirmada na natureza. O registro afirma que o exploit foi divulgado publicamente e pode ser utilizado, o que aumenta o risco de abuso oportunista.

Correção e mitigação

O registro não identifica versão corrigida. A ausência desse dado não significa que não exista correção, por isso confirme com o fornecedor ou com o distribuidor do software.
Se a aplicação não puder ser atualizada rapidamente, restrinja o acesso à funcionalidade de busca afetada, limite-a a redes e usuários confiáveis e coloque-a atrás de controles de acesso.
Revise o código do tratamento da busca e adote consultas parametrizadas com validação rigorosa de entrada. Garanta que a conta de banco usada pela aplicação tenha apenas os privilégios necessários.
O registro contém um link de terceiros marcado como relacionado a exploit. Ele não foi usado como fonte de correção e deve ser tratado com cautela.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições incomuns ou malformadas ao caminho de busca, sobretudo com caracteres inesperados no parâmetro de pesquisa.
Observe erros de banco de dados que citem sintaxe SQL originados da aplicação web.
Considere alertas para volumes incomuns de requisições a esse caminho vindas de origens desconhecidas.

Limitações das informações disponíveis

O registro não traz versão corrigida confirmada, aviso oficial do fornecedor, escore EPSS nem dados SSVC. O nome do produto difere entre a descrição e o campo de produtos afetados. O CWE listado é CWE-74 (Injeção), enquanto a descrição se refere especificamente a injeção de SQL. Os escores vêm de provedores e versões diferentes do CVSS e devem ser comparados com cuidado.

Perguntas frequentes

Esta falha de injeção de SQL está sendo explorada ativamente?

O catálogo KEV da CISA não lista esta CVE no registro, e nas fontes consultadas não há exploração confirmada na natureza. O registro afirma que um exploit público foi divulgado.

Quais versões são afetadas?

O registro cita a versão 1.0 do itsourcecode School Management System, e o campo de produtos afetados lista a versão 1.0 sob um nome de produto diferente. Não há outras versões identificadas.

Existe versão corrigida?

O registro não identifica versão corrigida. Confirme com o fornecedor ou distribuidor e, enquanto isso, aplique restrições de acesso e correções de codificação segura.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.