CVE-2026-1701: Injeção de SQL no itsourcecode School Management System 1.0 (/enrollment/index.php)
A CVE-2026-1701 descreve uma falha de injeção de SQL no tratamento do argumento ID em /enrollment/index.php do itsourcecode School Management System 1.0, explorável remotamente. O NVD registra pontuação CVSS 3.1 de 9,8, e o registro informa que um exploit foi divulgado publicamente. As fontes consultadas não identificam versão corrigida, e a única entrada de correção listada é uma referência de mitigação de terceiros.
Visão geral
A CVE-2026-1701 é um problema de injeção de SQL envolvendo o argumento ID processado por /enrollment/index.php no itsourcecode School Management System 1.0. A CVE foi publicada pela VulDB como CNA. A divulgação original continha definições de produto contraditórias, e a CVE foi inicialmente atribuída ao Student Management System antes de ser corrigida.
Impacto
Um atacante que consiga alcançar a página afetada pela rede pode conseguir influenciar consultas ao banco de dados. O registro não descreve quais dados poderiam ser lidos ou alterados, nem o nível de acesso que poderia ser obtido. O NVD atribui pontuação 9,8 no CVSS 3.1, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que corresponde a alto impacto em confidencialidade, integridade e disponibilidade, sem necessidade de privilégios ou interação do usuário. As pontuações do CNA listadas no registro são menores (7,3 e 7,5 no CVSS 3.1 e 2.0, e 5,5 no CVSS 4.0).
Produtos e versões afetadas
O registro lista o itsourcecode School Management System na versão 1.0 como afetado. Nenhuma outra versão é identificada nas fontes consultadas. O site do produto é citado apenas como contexto.
Status de exploração
O registro não consta no catálogo KEV da CISA, portanto não há exploração confirmada no ambiente real nas fontes consultadas. A descrição informa que o exploit foi divulgado publicamente e pode ser utilizado, e a issue no GitHub referenciada está marcada como Exploit. Não há dados de EPSS ou SSVC no registro.
Correção e mitigação
- O registro não identifica uma versão corrigida pelo fornecedor. A única entrada de correção listada é uma referência de mitigação para uma issue no GitHub.
- Restrinja o acesso ao módulo de matrícula a usuários autorizados ou a redes internas confiáveis até que haja uma correção verificada.
- Solicite ao desenvolvedor ou mantenedor uma versão corrigida e revise o código que trata o parâmetro ID, de forma que as consultas usem instruções parametrizadas e validação rigorosa de entrada no servidor.
- Considere um filtro de aplicações web como controle compensatório temporário, reconhecendo que ele não substitui a correção do código.
- Se a aplicação não puder ser protegida, isole-a ou desative-a e avalie se dados de matrícula de estudantes podem ter sido expostos.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições a /enrollment/index.php com valores de ID incomuns ou malformados.
- Procure mensagens de erro de banco de dados retornadas aos clientes, que podem indicar que a entrada chega às consultas sem tratamento seguro.
- Monitore atividade inesperada no banco de dados, mudanças súbitas nos tempos de resposta ou transferências de dados anormalmente grandes a partir da aplicação.
- Gere alertas para acessos à página de matrícula a partir de origens desconhecidas ou em volumes atípicos.
Limitações das informações disponíveis
O registro não fornece versão corrigida, aviso oficial do fornecedor nem detalhes técnicos além da afirmação de que um exploit é público. Como a divulgação original tinha definições de produto contraditórias, os administradores devem confirmar qual base de código executam. O registro lista CWE-74 (Injeção) enquanto a descrição se refere especificamente a injeção de SQL, e as fontes consultadas não resolvem essa diferença. O número de implantações afetadas e a disponibilidade atual do exploit público são desconhecidos.
Perguntas frequentes
Esta vulnerabilidade é explorada no ambiente real?
Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não consta no catálogo KEV da CISA. A descrição informa que um exploit público foi divulgado e pode ser utilizado.
Quais versões são afetadas?
O registro lista a versão 1.0 do itsourcecode School Management System. Nenhuma outra versão é identificada nas fontes consultadas.
Há uma versão corrigida disponível?
O registro não identifica versão corrigida. A única entrada de correção é uma referência de mitigação em uma issue no GitHub, então os administradores devem restringir o acesso e consultar o mantenedor por uma correção verificada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.