CVE-2026-1594: Injeção de SQL no add_expenses.php do Society Management System 1.0 da itsourcecode
Foi relatada uma vulnerabilidade de injeção de SQL no componente add_expenses.php do Society Management System 1.0 da itsourcecode, acessível pelo argumento detail. O registro descreve exploração remota e um exploit divulgado publicamente, mas o CISA KEV não a lista e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O registro não traz correção oficial do fornecedor.
Visão geral
O registro descreve uma falha de injeção de SQL no arquivo /admin/add_expenses.php do itsourcecode Society Management System 1.0. O argumento manipulado é o detail. A entrada é classificada como CWE-74 (Injeção).
Impacto
O vetor do NVD indica um ataque realizado pela rede, sem necessidade de privilégios ou interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade. Essa é uma inferência a partir do vetor e da nota crítica de 9.8, não uma avaliação separada.
Produtos e versões afetadas
- O registro indica a versão 1.0 como afetada.
- O campo de produto afetado cita Angeljudesuarez Society Management System, enquanto a descrição fala em itsourcecode Society Management System. O registro não concilia esses nomes.
- Outras versões não constam no registro, portanto sua situação é desconhecida.
Status de exploração
- A descrição informa que um exploit foi divulgado publicamente e pode ser usado. Uma issue no GitHub citada pelo registro traz a marcação Exploit.
- O registro indica que a CVE não consta no catálogo CISA KEV. Não há exploração ativa confirmada nas fontes consultadas.
Correção e mitigação
- O registro não contém correção oficial nem versão corrigida. A única referência relacionada a correção é um link de mitigação para uma issue de terceiros no GitHub.
- Enquanto não houver correção oficial confirmada, restrinja o acesso às páginas administrativas, revise com os desenvolvedores como a aplicação trata entradas enviadas ao banco de dados e consulte o site do fornecedor para atualizações.
- Priorize a revisão deste componente pela nota crítica e pela divulgação pública de exploit.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições ao endpoint add_expenses.php com valores incomuns ou malformados no parâmetro detail.
- Monitore mensagens de erro do banco de dados que possam indicar tentativas de injeção.
- Faça o inventário de implantações desse software, incluindo cópias obtidas de fontes não oficiais.
Limitações das informações disponíveis
- O registro não traz dados de EPSS nem de SSVC.
- A VulDB fornece pontuações CVSS 4.0 e 2.0 com valores diferentes. O registro inclui apenas a pontuação 3.1 do NVD.
- A identidade do fornecedor e a faixa completa de versões afetadas não estão conciliadas.
- As versões corrigidas são desconhecidas.
Perguntas frequentes
Esta CVE é conhecida por ser explorada ativamente?
O registro indica que a CVE não consta no CISA KEV e não há exploração ativa confirmada nas fontes consultadas. A descrição afirma, porém, que existe um exploit público que pode ser usado.
Existe correção oficial para esta vulnerabilidade?
O registro não traz correção oficial nem versão corrigida do fornecedor. A única referência relacionada é um link de mitigação para uma issue de terceiros no GitHub.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.