CVE-2026-1590: Injeção de SQL no School Management System da itsourcecode
A CVE-2026-1590 é uma falha de injeção de SQL no School Management System da itsourcecode, versão 1.0, acionada pela manipulação do argumento ID em uma página do módulo de professores. A NVD atribui pontuação base CVSS 3.1 de 9,8 (crítica), e o CNA VulDB publica outras pontuações em diferentes versões do CVSS. O registro informa que há exploit público, mas a falha não consta no catálogo KEV da CISA e não há indício de exploração ativa confirmada nas fontes consultadas.
Visão geral
Foi divulgada uma fragilidade de injeção de SQL no itsourcecode School Management System 1.0. Segundo a descrição do CNA, ela afeta uma função não identificada no arquivo /ramonsys/faculty/index.php, e a manipulação do argumento ID leva a injeção de SQL que pode ser acionada remotamente. Informações sobre o produto estão em itsourcecode.com e a entrada da VulDB está em vuldb.com.
Impacto
A injeção de SQL pode permitir que uma parte remota que alcance a função vulnerável influencie consultas ao banco de dados. Dependendo das permissões concedidas ao banco, isso pode expor, alterar ou apagar dados armazenados. A pontuação base da NVD é 9,8 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que descreve alto impacto em confidencialidade, integridade e disponibilidade, caso o vetor esteja correto. A fraqueza atribuída é a CWE-74 (Injection), uma categoria mais ampla que a injeção de SQL isoladamente.
Produtos e versões afetados
- A descrição menciona o itsourcecode School Management System 1.0.
- A lista de produtos afetados nomeia Angeljudesuarez School Management System, versão 1.0.
- Os dois nomes de produto são diferentes, e o registro não explica a divergência. Confirme fornecedor e componente no seu inventário.
- O registro não lista outras versões afetadas.
Status de exploração
A descrição do CNA informa que o exploit está publicamente disponível e pode ser utilizado. O registro mostra que a CVE não consta no catálogo KEV da CISA, portanto as fontes consultadas não confirmam exploração ativa ou exploração no mundo real. Não há pontuação EPSS no registro.
Correção e mitigação
- O registro não identifica uma versão corrigida. Isso não significa que não exista correção; significa apenas que o registro não a informa.
- O único item de correção do registro é classificado como mitigação e aponta para um link de hospedagem de arquivos de terceiros. Esse link não foi analisado e não é reproduzido aqui.
- Restrinja o acesso à aplicação afetada a redes confiáveis até que o responsável confirme uma atualização corretiva.
- Solicite ao fornecedor ou mantenedor uma versão corrigida e valide-a em ambiente de teste antes da implantação.
- Se o código for mantido internamente, use consultas parametrizadas e validação estrita dos parâmetros de identificação.
- Um firewall de aplicação web pode servir como controle compensatório temporário, mas não substitui a correção no código.
- Execute a aplicação com uma conta de banco de dados com privilégios mínimos necessários.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de valores incomuns ou malformados no parâmetro ID das páginas acadêmicas.
- Observe mensagens de erro de banco de dados devolvidas aos clientes, que podem indicar sondagem.
- Gere alertas para aumentos de requisições ao módulo a partir de origens desconhecidas.
- Mantenha os logs para análise de incidentes e compare-os com uma linha de base de uso normal.
Limitações das informações disponíveis
- O registro não traz um comunicado do fornecedor, uma versão corrigida ou uma correção confirmada.
- O nome do produto na lista de afetados difere do nome na descrição.
- Não há dados EPSS ou SSVC disponíveis.
- A referência da VulDB possui a marcação Permissions Required, enquanto o vetor da NVD indica que nenhum privilégio é necessário. Essa diferença não foi resolvida.
- As pontuações do CNA usam versões diferentes do CVSS e diferem da pontuação da NVD, o que exige cautela na comparação.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
O registro não inclui a CVE-2026-1590 no catálogo KEV da CISA e as fontes consultadas não confirmam exploração ativa. A descrição do CNA informa que há exploit público, por isso o risco deve ser tratado com seriedade.
O que os administradores devem fazer agora?
Restrinja o acesso à aplicação, solicite uma atualização corretiva ao fornecedor ou mantenedor e use consultas parametrizadas se o código for mantido internamente. O registro não identifica uma versão corrigida.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.