CVE-2026-2014: Injeção de SQL no itsourcecode Student Management System 1.0
A CVE-2026-2014 é uma falha de injeção de SQL no itsourcecode Student Management System 1.0, acionada pelo argumento ID do arquivo /ramonsys/billing/index.php. O registro indica que a exploração remota é possível e que um exploit foi divulgado publicamente. A NVD atribui pontuação base CVSS 3.1 de 9,8 (crítica), e o catálogo CISA KEV não lista esta CVE.
Visão geral
A CVE-2026-2014 é uma fraqueza de injeção de SQL (CWE-89) relatada no itsourcecode Student Management System 1.0. Segundo o registro, a função vulnerável está no arquivo /ramonsys/billing/index.php, onde o argumento ID não é tratado de forma segura.
Impacto
- O registro descreve exploração remota, portanto uma parte com acesso de rede à aplicação pode alcançar o parâmetro afetado.
- Dependendo da configuração, a injeção de SQL pode expor, alterar ou apagar dados do banco de dados. Isto é uma inferência; as fontes não confirmam um resultado específico.
- A NVD atribui pontuação base de 9,8 (crítica) no CVSS 3.1, com alto impacto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetadas
- Produto: itsourcecode Student Management System 1.0. A seção de produtos afetados o identifica como Itsourcecode School Management System, versão 1.0.
- O registro não informa nenhuma versão corrigida.
- Outras pontuações da CNA no registro (VulDB) são 7,3 no CVSS 3.1, 5,5 no 4.0 e 7,5 no 2.0.
Status de exploração
- O registro afirma que um exploit foi divulgado publicamente e pode ser usado em ataques. É citada uma issue no GitHub marcada como exploit.
- Esta CVE não consta no catálogo CISA KEV, logo as fontes consultadas não confirmam exploração ativa.
- Dados de EPSS e SSVC não estão presentes no registro.
Remediação e mitigação
- Identifique se o produto está implantado. Em caso positivo, restrinja o acesso aos módulos administrativo e de cobrança a redes confiáveis.
- Consulte o fornecedor ou os mantenedores do projeto sobre uma versão corrigida. O registro não traz nenhuma.
- Aplique práticas de codificação segura: consultas parametrizadas ou prepared statements para a entrada ID, validação rigorosa no servidor e conta de banco de dados com privilégio mínimo.
- Um firewall de aplicação web pode servir como controle compensatório temporário, mas não substitui a correção do código.
Orientações de detecção
- Revise logs do servidor web e da aplicação em busca de requisições para /ramonsys/billing/index.php com valores de ID incomuns ou malformados.
- Observe erros de banco de dados devolvidos aos clientes e volume inesperado de consultas vindas da conta da aplicação.
- Verifique os privilégios das contas de banco de dados e audite alterações recentes em registros de cobrança e de estudantes.
Limitações das informações disponíveis
- O registro não identifica o caminho exato do código vulnerável, uma versão corrigida nem o status de correção do fornecedor.
- A descrição chama o produto de Student Management System, enquanto a entrada de afetados usa School Management System. Esta análise assume que se trata do mesmo produto.
- Dados de EPSS e SSVC não estão disponíveis, e o campo de uso em ransomware do KEV está vazio.
Perguntas frequentes
O que é a CVE-2026-2014?
É uma fraqueza de injeção de SQL no itsourcecode Student Management System 1.0, acessada pelo argumento ID do arquivo /ramonsys/billing/index.php.
Esta CVE é explorada ativamente?
O catálogo CISA KEV não a lista, e as fontes consultadas não confirmam exploração ativa. O registro afirma apenas que um exploit público foi divulgado.
Existe versão corrigida?
O registro não informa versão corrigida. Consulte o fornecedor ou os mantenedores e aplique práticas de codificação segura enquanto isso.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.