CVE-2026-1593: Injeção de SQL no Society Management System em edit_expenses_query.php
A CVE-2026-1593 é uma falha de injeção de SQL no arquivo administrativo /admin/edit_expenses_query.php do Society Management System 1.0 da itsourcecode, acionada pelo argumento detail. A NVD atribuiu pontuação crítica de 9.8 (CVSS 3.1), enquanto a CNA VulDB atribuiu 7.3 na mesma versão do CVSS. O registro indica que existe exploit público, mas o catálogo KEV da CISA não lista a falha e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-1593 descreve um problema de injeção de SQL no script administrativo /admin/edit_expenses_query.php do itsourcecode Society Management System 1.0. Segundo o registro, a manipulação do argumento detail pode levar a injeção de SQL, e o ataque pode ser iniciado remotamente. O registro foi publicado em 29/01/2026 e está com status Analyzed.
Impacto
- A injeção de SQL pode permitir que um atacante interfira nas consultas ao banco de dados. A exposição ou alteração real de dados depende da aplicação e da configuração do banco, informações que o registro não descreve.
- A NVD atribui pontuação base 9.8 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica alto impacto em confidencialidade, integridade e disponibilidade, caso o vetor esteja correto.
- O registro classifica a fraqueza como CWE-74 (Injeção).
Produtos e versões afetadas
- O campo de produto afetado lista Angeljudesuarez Society Management System, versão 1.0, enquanto a descrição se refere ao itsourcecode Society Management System 1.0. Essa diferença de nomenclatura deve ser verificada nas páginas do fornecedor.
- Nenhuma outra versão afetada consta no registro.
Status de exploração
- O registro informa que um exploit foi disponibilizado ao público, e a issue do GitHub citada no registro possui a etiqueta Exploit.
- A CVE não consta no catálogo KEV da CISA, portanto o registro não confirma exploração ativa. Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- O registro referencia uma discussão de mitigação em uma issue do GitHub de terceiros. O conteúdo dessa issue não estava disponível para esta análise, e nenhuma versão corrigida é indicada.
- Até que uma correção oficial seja confirmada, restrinja o acesso à área administrativa, exija autenticação forte e limite a exposição de rede da aplicação.
- Revise o script afetado quanto à validação de entradas e ao uso de consultas parametrizadas. Considere isolar ou substituir a aplicação caso não haja correção do fornecedor.
Orientações de detecção
- Analise os logs do servidor web em busca de requisições para /admin/edit_expenses_query.php com valores incomuns ou malformados no parâmetro detail.
- Monitore mensagens de erro do banco de dados e atividades administrativas inesperadas relacionadas a essa aplicação.
Limitações das informações disponíveis
- O registro não indica correção, patch ou versão corrigida fornecida pelo fornecedor.
- O nome do produto difere entre o campo de produto afetado e o título e a descrição.
- Dados de EPSS e SSVC não estão disponíveis. A VulDB também forneceu pontuação CVSS 4.0 (5.5) e CVSS 2.0 (7.5), que divergem da pontuação da NVD.
Perguntas frequentes
A CVE-2026-1593 está sendo explorada ativamente?
O registro não inclui esta CVE no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. O registro informa que existe exploit público disponível.
Qual produto e versão são afetados?
O registro lista o Angeljudesuarez Society Management System versão 1.0, enquanto o título se refere ao itsourcecode Society Management System 1.0. Confirme a identidade do produto com o fornecedor antes de usar qualquer um dos nomes.
Existe versão corrigida?
Nenhuma versão corrigida é indicada no registro. Há uma referência de mitigação em uma issue do GitHub de terceiros, mas o conteúdo dela não estava disponível para esta análise.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.