CVE-2026-2011: Injeção de SQL no Itsourcecode Student Management System
A CVE-2026-2011 é uma injeção de SQL (CWE-89) no itsourcecode Student Management System versão 1.0, acionada pela manipulação do argumento ID e explorável remotamente. A NVD atribui pontuação 9,8 no CVSS 3.1, e a descrição informa que existe exploit público. O registro não traz versão corrigida nem inclusão no catálogo KEV.
Visão geral
A CVE-2026-2011 descreve uma injeção de SQL (CWE-89) no itsourcecode Student Management System versão 1.0. Segundo o registro, a manipulação do argumento ID, tratado por uma função não identificada em um arquivo de controlador de matrícula, resulta em injeção de SQL, e o ataque pode ser realizado remotamente.
Impacto
- A NVD atribui pontuação base 9,8 (Crítica) no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica ataque pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
- O CNA VulDB também lista 7,3 no CVSS 3.1, 5,5 no CVSS 4.0 e 7,5 no CVSS 2.0.
- Os dados específicos expostos dependem da implantação e não são informados no registro.
Produtos afetados e versões
- Produto citado na descrição: itsourcecode Student Management System 1.0.
- Produto citado no campo de afetados: Itsourcecode School Management System, versão 1.0. A diferença de nome deve ser conferida no site do fornecedor.
- O registro não informa versão corrigida.
Status de exploração
- A descrição afirma que o exploit foi tornado público e pode ser utilizado. Uma referência marcada como Exploit aponta para uma entrada pública de issue.
- Esta CVE não aparece no catálogo KEV da CISA no registro, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Correção e mitigação
- O registro não documenta correção do fornecedor. Administradores devem consultar o site do fornecedor e solicitar uma versão atualizada.
- Enquanto não houver correção confirmada, restrinja a exposição de rede da aplicação, limite o acesso às funções administrativas e de matrícula e verifique se a instância está acessível pela internet.
- Se a aplicação for personalizada internamente, aplique validação rigorosa de entrada e consultas parametrizadas no trecho de código afetado.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de valores anormais ou malformados no parâmetro ID nas páginas de matrícula.
- Monitore respostas de erro de banco de dados devolvidas a clientes e comportamentos inesperados da conta de banco usada pela aplicação.
- Alertas de firewall de aplicação web para padrões relacionados a SQL aumentam a visibilidade, mas não substituem a correção no código.
Limitações das informações disponíveis
- O registro não identifica versão corrigida, aviso oficial do fornecedor nem a função vulnerável exata.
- Dados de EPSS e SSVC não estão disponíveis no registro.
- O nome do produto difere entre a descrição e o campo de afetados.
Perguntas frequentes
A CVE-2026-2011 está sendo explorada ativamente?
O registro não inclui esta CVE no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. A descrição informa que existe exploit público que pode ser utilizado.
Qual é a gravidade da CVE-2026-2011?
A NVD atribui pontuação base 9,8 no CVSS 3.1, classificada como Crítica, com vetor de ataque pela rede e sem necessidade de privilégios ou interação do usuário. O CNA VulDB lista pontuações menores em outras versões do CVSS.
Existe versão corrigida disponível?
O registro não informa versão corrigida nem correção do fornecedor. Recomenda-se consultar o site do fornecedor e solicitar uma versão atualizada antes de presumir que existe correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.