CVE-2026-1595: Injeção de SQL no itsourcecode Society Management System via student_id

Visão geral

A CVE-2026-1595 afeta o itsourcecode Society Management System 1.0. Segundo o registro, a falha está em uma parte não especificada do arquivo /admin/edit_student_query.php, onde o argumento student_id não é tratado de forma segura e permite injeção de SQL. O registro classifica a fraqueza como CWE-74 (Injeção). A data de publicação no registro é 2026-01-29.

Impacto

A injeção de SQL pode permitir que um atacante que alcance a função vulnerável influencie consultas ao banco de dados. O vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H indicado pela NVD sinaliza acesso pela rede, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. Os dados expostos ou alterados dependem da configuração do banco de dados, que não é descrita no registro.

Produtos e versões afetadas

Produto citado na descrição: itsourcecode Society Management System, versão 1.0.
O campo estruturado de produto afetado indica Angeljudesuarez Society Management System, versão 1.0. Essa divergência de nomenclatura não é resolvida pelo registro e deve ser verificada junto ao fornecedor e à entrada da VulDB.
Nenhuma outra versão afetada é listada no registro.

Status de exploração

O registro informa que o exploit é público e pode ser utilizado. A CVE-2026-1595 não consta no catálogo KEV da CISA, portanto o registro não confirma exploração ativa ou exploração no mundo real. Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

O registro contém uma referência de mitigação, uma issue no GitHub do repositório yyzq-wsx, mas não identifica uma versão corrigida do produto. Até que o fornecedor ou o mantenedor confirme uma correção, os administradores devem restringir o acesso à área /admin a redes confiáveis, aplicar controles adicionais de autenticação e considerar remover ou desativar a página administrativa afetada, caso não seja necessária. Validação de entrada e uso de consultas parametrizadas são as medidas estruturais padrão contra injeção de SQL e devem ser verificadas no código da aplicação.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições a /admin/edit_student_query.php com valores de student_id incomuns ou malformados.
Procure mensagens de erro de banco de dados retornadas ao cliente, tempos de resposta anormais ou volumes incomuns de requisições a páginas administrativas.
Monitore alterações inesperadas em registros de alunos ou de administração.
Regras de firewall de aplicação web podem reduzir a exposição, mas não substituem a correção no código.

Limitações das informações disponíveis

O registro não especifica o trecho de código vulnerável, o tratamento detalhado do parâmetro nem uma versão corrigida. A nomenclatura do fornecedor diverge entre a descrição e o campo de produto afetado. Pontuação EPSS e dados SSVC não estão disponíveis. As pontuações CVSS diferem por fonte e versão, e as pontuações da CNA são inferiores à da NVD.

Perguntas frequentes

A CVE-2026-1595 está sendo explorada ativamente?

O registro informa que existe exploit público, mas a CVE-2026-1595 não consta no catálogo KEV da CISA e as fontes consultadas não confirmam exploração no mundo real.

Existe uma versão corrigida?

O registro não identifica versão corrigida. Ele cita apenas uma mitigação em uma issue do GitHub, por isso os administradores devem consultar o fornecedor ou o mantenedor.

Qual é a severidade?

A NVD atribui pontuação CVSS 3.1 base de 9.8 (Crítica). As pontuações da CNA VulDB no registro são menores, variando de 5.5 a 7.5 conforme a versão do CVSS.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.