CVE-2026-2013: Injeção de SQL pelo parâmetro ID no Student Management System 1.0 da itsourcecode

Visão geral

O CVE-2026-2013 é uma fraqueza de injeção de SQL (CWE-89) no itsourcecode Student Management System 1.0. Segundo o registro, a falha é alcançável pelo argumento ID do arquivo /ramonsys/soa/index.php. O CVE foi publicado em 2026-02-06 e a VulDB atua como CNA. O site do fornecedor do produto é itsourcecode.com e a entrada da VulDB está em entrada VulDB.

Impacto

A pontuação base da NVD é 9.8 no CVSS 3.1. O vetor descreve vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
Injeção de SQL, em geral, permite influenciar consultas ao banco de dados. Quais dados poderiam ser lidos ou alterados nesta aplicação é desconhecido a partir do registro.
A CNA VulDB lista outras pontuações (CVSS 4.0 com 5.5, CVSS 3.1 com 7.3 e CVSS 2.0 com 7.5). Elas diferem da pontuação da NVD e devem ser interpretadas com essa ressalva.

Produtos e versões afetados

A entrada de afetados indica Itsourcecode School Management System, versão 1.0.
A descrição menciona Student Management System 1.0. O registro não confirma se os dois nomes se referem ao mesmo produto.
Nenhuma versão corrigida consta no registro.

Status de exploração

O registro afirma que o exploit está publicamente disponível e pode ser utilizado. Uma issue no GitHub marcada como referência de exploit está listada em issue no GitHub.
O catálogo KEV da CISA não lista este CVE. Não há exploração confirmada no mundo real nas fontes consultadas.

Correção e mitigação

Nenhuma correção do fornecedor é identificada no registro. A ausência de correção listada não significa que ela não exista, por isso confirme a situação com o fornecedor ou com uma fonte confiável.
Restrinja o acesso à aplicação a redes confiáveis até que uma correção ou atualização oficial seja confirmada.
Se o software foi personalizado internamente, adote consultas parametrizadas e validação rigorosa de identificadores numéricos.
Considere desativar ou remover a aplicação caso ela não esteja em uso ativo.

Orientação de detecção

Revise os logs do servidor web em busca de requisições ao arquivo /ramonsys/soa/index.php com valores incomuns ou não numéricos no parâmetro ID.
Acompanhe os logs da aplicação e do banco de dados para erros inesperados de consulta ou respostas que exponham detalhes do banco.
Monitore alterações ou exclusões inesperadas em registros de estudantes ou administrativos.

Limitações das informações disponíveis

O registro não descreve o caminho exato do código vulnerável nem todas as pré-condições. O vetor da NVD indica que nenhum privilégio é necessário, mas o registro não explica outros requisitos de autenticação ou configuração.
O registro não inclui aviso do fornecedor, pontuação EPSS nem decisão SSVC.
O nome do produto difere entre a entrada de afetados e a descrição, então a cobertura das versões deve ser verificada no software instalado.

Perguntas frequentes

O que é o CVE-2026-2013?

É uma fraqueza de injeção de SQL (CWE-89) no itsourcecode Student Management System 1.0, acessível pelo argumento ID de /ramonsys/soa/index.php, segundo o registro.

Há exploração confirmada no mundo real?

O catálogo KEV da CISA não lista o CVE e não há exploração confirmada nas fontes consultadas. O registro afirma que existe um exploit publicamente disponível.

Existe versão corrigida?

Nenhuma versão corrigida consta no registro. A ausência de correção listada não confirma que ela não exista, então consulte o fornecedor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.