CVE-2026-2012: Injeção de SQL no itsourcecode Student Management System 1.0
A CVE-2026-2012 descreve uma falha de injeção de SQL no itsourcecode Student Management System 1.0, acessível remotamente pela página facultyloading. A VulDB, como CNA, e o NVD classificam a severidade como crítica, sendo que o NVD atribuiu CVSS 3.1 com nota 9.8. O registro indica que um exploit foi divulgado publicamente, mas a CVE não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-2012 afeta o itsourcecode Student Management System 1.0. Segundo o registro, uma função acessível pelo arquivo /ramonsys/facultyloading/index.php não trata adequadamente o argumento ID, o que leva a injeção de SQL (CWE-89). O registro informa que o ataque pode ser iniciado remotamente. A publicação ocorreu em 06/02/2026 e o caso foi analisado pela CNA VulDB.
Impacto
Uma injeção de SQL pode permitir que um agente malicioso influencie as consultas ao banco de dados enviadas pela aplicação, afetando potencialmente dados lidos, alterados ou interrompidos. O vetor CVSS 3.1 do NVD, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indica acesso pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade. O impacto real depende do conteúdo do banco e da implantação, o que as fontes não detalham.
Produtos e versões afetadas
- Produto: Itsourcecode School Management System (conforme a entrada de afetados), descrito no texto da vulnerabilidade como Student Management System.
- Versão: version 1.0 é a única versão listada no registro.
- Versões corrigidas: nenhuma é listada no registro.
O nome do produto difere entre a entrada de afetados e a descrição, então os administradores devem confirmar qual pacote de aplicação estão executando.
Status de exploração
A CVE não consta no catálogo KEV da CISA, portanto esta análise não reporta exploração ativa. O registro afirma que um exploit foi divulgado publicamente e pode ser utilizado, e há uma issue no GitHub marcada como referência de exploit entre as fontes. Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
Correção e mitigação
- Nenhuma correção do fabricante ou versão corrigida é identificada no registro. A ausência de correção listada não comprova que ela não exista, então consulte o fabricante em itsourcecode.
- Restrinja o acesso à aplicação para que não fique exposta a redes não confiáveis, especialmente o módulo facultyloading.
- Peça à equipe de desenvolvimento que revise o arquivo afetado e substitua consultas montadas dinamicamente por consultas parametrizadas, com validação rigorosa de entradas.
- Aplique regras de firewall de aplicação web como controle compensatório temporário enquanto a revisão de código não for concluída, reconhecendo que essas regras podem ser contornadas.
- Limite os privilégios da conta de banco usada pela aplicação ao mínimo necessário.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns ou repetidas ao caminho facultyloading com valores anormais no argumento ID.
- Monitore os logs do banco de dados para erros de consulta ou padrões inesperados originados da aplicação web.
- Observe alterações inesperadas em registros de alunos ou docentes como sinal de possível uso indevido.
Para as entradas públicas, veja a entrada da VulDB e o registro no NVD.
Limitações das informações disponíveis
- Nenhuma versão corrigida, aviso do fabricante ou patch é identificado no registro.
- Os valores de CVSS variam por fonte: o NVD informa 3.1 com nota 9.8, enquanto a CNA informa 4.0 com nota 5.5, 3.1 com nota 7.3 e 2.0 com nota 7.5.
- Dados de EPSS e SSVC não estão disponíveis no registro.
- O nome do produto nos dados estruturados difere do nome na descrição.
- Detalhes técnicos do exploit não são incluídos aqui, e o registro não especifica a maturidade do exploit.
Perguntas frequentes
O que é a CVE-2026-2012?
É uma vulnerabilidade de injeção de SQL no itsourcecode Student Management System 1.0, afetando o arquivo facultyloading e o argumento ID, segundo o registro.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. O registro afirma que um exploit foi divulgado publicamente.
Existe versão corrigida?
Nenhuma versão corrigida é listada no registro. Consulte o fabricante e restrinja o acesso à aplicação até que haja correção ou mitigação verificada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.