CVE-2026-2057: SQL Injection no login do Medical Center Portal Management System 1.0 (SourceCodester)
A CVE-2026-2057 é uma falha de SQL injection (CWE-89) na página /login.php do Medical Center Portal Management System 1.0, produto atribuído à SourceCodester no registro. O registro informa que a falha pode ser explorada remotamente e que existe exploit público, mas a CVE não consta no catálogo KEV da CISA e não há exploração confirmada no campo nas fontes consultadas. Nenhuma correção do fornecedor é registrada, por isso as equipes devem considerar o produto exposto até que o fornecedor ou os mantenedores confirmem o contrário.
Visão geral
A CVE-2026-2057 descreve uma fraqueza de SQL injection (CWE-89) que afeta o arquivo /login.php do Medical Center Portal Management System 1.0, identificado no registro como produto da SourceCodester. A descrição informa que a manipulação do argumento User leva à injeção de SQL, que o ataque pode ser feito remotamente e que há exploit público disponível.
Impacto
Falhas de SQL injection podem permitir que um atacante influencie consultas ao banco de dados montadas pela aplicação, o que pode expor, alterar ou interromper dados armazenados. A avaliação da NVD (CVSS 3.1, pontuação 9.8) classifica os impactos de confidencialidade, integridade e disponibilidade como altos, com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário. As demais pontuações de CNA no registro são menores, portanto a severidade real depende da implantação.
Produtos e versões afetados
- O registro lista a versão 1.0 do Medical Center Portal Management System.
- O fornecedor é inconsistente no registro: a descrição cita a SourceCodester, enquanto o campo de produto afetado cita a Bontrofftech. O fornecedor correto não está confirmado.
- Nenhuma versão corrigida é listada.
Status de exploração
O registro afirma que o exploit é público e pode ser utilizado, e uma issue no GitHub entre as referências está marcada como fonte de exploit. A CVE não consta no catálogo KEV da CISA, e não há exploração ativa confirmada no campo nas fontes consultadas.
Correção e mitigação
- Nenhum patch do fornecedor é registrado. Confirme com a SourceCodester ou com os mantenedores se existe correção antes de presumir que ela exista.
- Restrinja o acesso à interface de login, por exemplo por segmentação de rede, acesso apenas por VPN ou listas de permissão, enquanto o produto é avaliado.
- Peça às equipes de desenvolvimento que substituam SQL montada dinamicamente no código de autenticação por consultas parametrizadas e valide entradas no servidor.
- Se a aplicação não for necessária, remova-a ou isole-a. Mantenha um inventário para localizar cópias desta aplicação no ambiente.
- Considere um firewall de aplicação web como controle compensatório temporário, ciente de que ele não substitui a correção no código.
Orientações de detecção
- Revise logs do servidor web e da aplicação em busca de requisições a /login.php com conteúdo incomum nos parâmetros, tentativas de login repetidas ou mensagens de erro de banco de dados retornadas ao cliente.
- Monitore logs do banco de dados em busca de consultas de autenticação com estrutura ou volume inesperados.
- Gere alertas para logins bem-sucedidos de origens inesperadas logo após atividade suspeita de login.
Limitações das informações disponíveis
- O registro não inclui versão corrigida, aviso do fornecedor nem patch.
- O nome do fornecedor é inconsistente entre a descrição e o campo de produto afetado.
- As pontuações CVSS variam por fonte: a NVD informa 9.8 (CVSS 3.1), enquanto a CNA informa 5.5 (CVSS 4.0), 7.3 (CVSS 3.1) e 7.5 (CVSS 2.0). As pontuações da CNA são apresentadas como constam no registro.
- Não há dados de EPSS ou SSVC disponíveis.
- O registro não inclui título, então o título apresentado aqui foi derivado da descrição.
Perguntas frequentes
A CVE-2026-2057 está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA, e não há exploração confirmada no campo nas fontes consultadas. O registro informa que existe exploit público que pode ser utilizado.
Existe correção para a CVE-2026-2057?
Nenhuma versão corrigida ou patch do fornecedor consta no registro. Confirme com o fornecedor ou os mantenedores antes de presumir que existe correção.
Qual é a severidade da CVE-2026-2057?
A NVD atribui pontuação CVSS 3.1 de 9.8. As pontuações da CNA no registro são menores (5.5 no CVSS 4.0, 7.3 no CVSS 3.1 e 7.5 no CVSS 2.0), portanto a severidade varia conforme a fonte.
O que as equipes devem fazer agora?
Restrinja o acesso à interface de login, verifique se a aplicação é necessária, avalie o uso de consultas parametrizadas no código e monitore os logs em busca de atividade suspeita de login.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.