CVE-2026-2073: Injeção de SQL no School Management System da itsourcecode

Visão geral

Foi registrada uma falha de injeção de SQL (CWE-89) no itsourcecode School Management System 1.0. Segundo o registro, ela está no argumento ID tratado por /ramonsys/user/index.php, em uma função que o registro não descreve. As fontes informam que o problema pode ser explorado remotamente e que um exploit foi divulgado publicamente.

Impacto

Uma injeção de SQL bem-sucedida pode permitir a leitura, alteração ou exclusão de dados do banco, dependendo das permissões do banco e do desenho da aplicação.
O NVD atribui pontuação base 9,8 (CVSS 3.1, Crítica), com alto impacto em confidencialidade, integridade e disponibilidade.
O CNA, VulDB, apresenta pontuações menores em outras versões do CVSS, conforme o registro.

Produtos afetados e versões

Itsourcecode School Management System, versão 1.0, conforme indicado no registro.
O registro não lista outras versões afetadas. Não é possível saber se outras versões são impactadas.

Status de exploração

O registro indica que esta CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada nas fontes consultadas.
O registro informa que um exploit foi divulgado publicamente e referencia uma issue pública marcada como exploit. A disponibilidade pública aumenta a probabilidade de exploração oportunista.

Correção e mitigação

O registro não informa versão corrigida nem correção do fornecedor. Verifique o site do fornecedor e entre em contato para obter atualização.
Enquanto não houver correção confirmada, restrinja o acesso de rede à aplicação, especialmente às páginas administrativas ou voltadas ao usuário, e exija autenticação sempre que possível.
Garanta que as consultas ao banco usem instruções parametrizadas e que o valor de ID seja validado no servidor.
Aplique o princípio do menor privilégio à conta de banco usada pela aplicação.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de valores incomuns no parâmetro ID das requisições ao arquivo afetado, como entradas malformadas ou mensagens de erro do banco.
Monitore erros inesperados de banco de dados ou acessos anormais a dados originados pela aplicação web.
Alertas de firewall de aplicação web para padrões relacionados a SQL podem ajudar, mas não substituem a correção no código.

Limitações das informações disponíveis

O registro não descreve em detalhes a função vulnerável nem confirma as versões afetadas além da 1.0.
Nenhuma versão corrigida, aviso do fornecedor ou patch aparece no registro.
A probabilidade EPSS é uma estimativa estatística e não uma avaliação confirmada de ameaça.
Pontuações e detalhes podem mudar à medida que o CNA e o NVD atualizarem o registro.

Perguntas frequentes

O que é a CVE-2026-2073?

É uma vulnerabilidade de injeção de SQL (CWE-89) no itsourcecode School Management System 1.0, acessada pelo argumento ID de /ramonsys/user/index.php.

Qual é a gravidade?

O registro do NVD atribui pontuação base CVSS 3.1 de 9,8, classificada como Crítica. As outras pontuações do CNA no registro são menores.

Há exploração ativa?

O registro não a lista no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas. O registro informa que um exploit foi divulgado publicamente.

Existe correção?

O registro não informa versão corrigida nem patch do fornecedor. Entre em contato com o fornecedor e restrinja o acesso à aplicação até haver atualização confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.