CVE-2026-2018: Injeção de SQL no School Management System 1.0 da itsourcecode

Visão geral

O CVE-2026-2018 descreve uma fraqueza de injeção de SQL (CWE-89) no itsourcecode School Management System 1.0. Segundo o registro, a falha é acionada pela manipulação do argumento ID em um arquivo da área de configurações, e a parte afetada desse arquivo não é detalhada.

Impacto

O NVD atribui pontuação base CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica acesso pela rede, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade.
A CNA (cna@vuldb.com) lista pontuações adicionais de 7.3 (CVSS 3.1), 7.5 (CVSS 2.0) e 5.5 (CVSS 4.0).
A exploração bem-sucedida de uma injeção de SQL pode permitir leitura ou alteração não autorizada de dados do banco. O impacto real depende dos privilégios do banco e da implantação.

Produtos e versões afetados

Produto: itsourcecode School Management System.
Versão indicada no registro: 1.0.
Outras versões: desconhecido. O registro não enumera outras versões afetadas.
Versões corrigidas: nenhuma é listada no registro. Isso é desconhecido e não confirma a ausência de correção.

Status de exploração

O registro não indica inclusão deste CVE no catálogo KEV da CISA, portanto não há exploração confirmada no mundo real nas fontes consultadas.
O registro afirma que um exploit foi publicado, e uma issue do GitHub marcada como exploit consta entre as referências. Esta análise não reproduz nenhum material de exploração.
Dados de EPSS e SSVC não constam no registro e são desconhecidos.

Correção e mitigação

Confirme se a implantação utiliza a versão 1.0 e consulte o fornecedor ou desenvolvedor sobre uma versão atualizada.
Enquanto a situação não for verificada, restrinja o acesso às funções administrativas e de configuração, por exemplo por listas de permissão de rede ou VPN.
Aplique o princípio do menor privilégio à conta de banco de dados usada pela aplicação.
Solicite ao desenvolvedor a validação de entradas e o uso de consultas parametrizadas no código afetado.
Um firewall de aplicação web pode funcionar como controle compensatório temporário, mas não substitui a correção do código.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de valores incomuns ou malformados no parâmetro ID em requisições de configurações.
Observe erros de banco de dados ou volume de consultas inesperado originado de requisições web.
Gere alertas para requisições repetidas de uma mesma origem contra endpoints administrativos.

Limitações das informações disponíveis

O registro não possui título, por isso o título desta análise foi definido com base no fornecedor, produto e classe da vulnerabilidade.
O componente afetado é descrito apenas de forma geral, o que limita a delimitação precisa do problema.
Não há versão corrigida, pontuação EPSS nem dados SSVC no registro.
As pontuações variam entre versões do CVSS e entre fornecedores, por isso a pontuação 3.1 do NVD é a referência principal desta análise.

Perguntas frequentes

O que é o CVE-2026-2018?

É uma fraqueza de injeção de SQL (CWE-89) relatada no itsourcecode School Management System 1.0, acionada pela manipulação do argumento ID.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não consta no catálogo KEV da CISA e não há exploração confirmada no mundo real nas fontes consultadas. O registro afirma que um exploit foi publicado.

Quais versões são afetadas e existe correção?

O registro indica a versão 1.0. Nenhuma versão corrigida é listada, o que é desconhecido e não comprova a ausência de correção. Consulte o fornecedor ou desenvolvedor para confirmar.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.