CVE-2026-2060: Injeção de SQL no Simple Blood Donor Management System 1.0

Visão geral

Foi relatada uma falha de injeção de SQL (CWE-89) no Simple Blood Donor Management System 1.0, do fornecedor code-projects. Segundo o registro, o problema envolve o argumento ID processado pelo arquivo editcampaignform.php e pode ser explorado remotamente.

Impacto

Uma injeção de SQL bem-sucedida pode permitir interações não previstas com o banco de dados da aplicação, com efeito dependente das permissões do banco e do desenho da aplicação.
A NVD classifica o problema com pontuação 9.8 (crítica) no CVSS 3.1, com alto impacto em confidencialidade, integridade e disponibilidade, sem exigência de privilégios ou interação do usuário.
As pontuações da CNA VulDB diferem: 7.3 no CVSS 3.1, 5.5 no CVSS 4.0 e 7.5 no CVSS 2.0.

Produtos e versões afetadas

O registro indica a versão 1.0 do Simple Blood Donor Management System.
O nome do fornecedor é inconsistente dentro do registro: a descrição menciona code-projects, enquanto o campo de produto afetado cita Fabian Simple Blood Donor Management System.
Nenhuma outra versão afetada é listada no registro.

Status de exploração

O registro afirma que o exploit foi tornado público e pode ser utilizado.
Esta CVE não consta no catálogo KEV da CISA no registro, portanto a exploração ativa não é confirmada.
Não há exploração confirmada na natureza nas fontes consultadas.
O EPSS indica probabilidade de 0.00379 e percentil de 0.29991.

Correção e mitigação

O registro não contém correção do fornecedor. A única referência de remediação é uma entrada de mitigação apontando para uma issue de terceiros em https://github.com/kyxh001/CVE/issues/1.
Trate a aplicação como sem correção até que o fornecedor ou o mantenedor confirme uma versão corrigida.
Restrinja o acesso à aplicação a redes confiáveis e remova-a da exposição direta à internet, quando possível.
Avalie se a aplicação ainda é necessária e substitua-a ou desative-a caso não exista versão mantida.
Se o código puder ser alterado localmente, aplique validação de entrada no servidor e consultas parametrizadas ao banco de dados.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns ao editcampaignform.php, especialmente com valores anormais no parâmetro ID.
Monitore mensagens de erro do banco de dados e atividades de consulta inesperadas originadas da conta da aplicação web.
Considere regras de firewall de aplicação web que sinalizem padrões comuns de injeção de SQL, reconhecendo que esses controles podem ser contornados.

Limitações das informações disponíveis

O registro não inclui aviso do fornecedor, versão corrigida nem referência técnica verificada além da issue de terceiros.
As pontuações da NVD e da CNA diferem, e o registro não explica a base da escolha das pontuações.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação e deve ser verificada na fonte.
O nome do produto afetado difere entre a descrição e o campo de produto afetado.

Perguntas frequentes

O que é a CVE-2026-2060?

É uma vulnerabilidade de injeção de SQL (CWE-89) relatada no Simple Blood Donor Management System 1.0, no argumento ID tratado por editcampaignform.php.

Qual é a gravidade?

A NVD classifica como 9.8 (crítica) no CVSS 3.1, enquanto a CNA VulDB indica 7.3 no CVSS 3.1, 5.5 no CVSS 4.0 e 7.5 no CVSS 2.0.

Há exploração na natureza?

O registro não inclui esta CVE no catálogo KEV da CISA, e não há exploração confirmada na natureza nas fontes consultadas. O registro afirma que existe um exploit público.

Existe correção do fornecedor?

O registro não lista correção do fornecedor. Há apenas uma referência de mitigação para uma issue de terceiros, portanto a existência de versão corrigida é desconhecida.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.