CVE-2026-2083: Injeção de SQL no arquivo delete_post.php do code-projects Social Networking Site 1.0

Visão geral

O CVE-2026-2083 descreve uma fraqueza de injeção de SQL (CWE-89) no code-projects Social Networking Site 1.0. O registro situa a falha no arquivo delete_post.php, onde o argumento ID não é tratado de forma segura antes de ser usado em uma consulta ao banco de dados.

Impacto

Um atacante que consiga acessar a aplicação pela rede pode, em tese, interagir com o banco de dados por meio do parâmetro afetado.
O vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H da NVD indica acesso pela rede, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
A exposição ou alteração real de dados depende da configuração do banco, que não é descrita no registro.

Produtos e versões afetados

Code-projects Social Networking Site, versão 1.0, conforme listado no registro.
O registro não lista outras versões afetadas e não informa uma versão corrigida.
A página do projeto é referenciada em https://code-projects.org/, mas o registro não descreve sua situação atual.

Status de exploração

O registro afirma que um exploit foi divulgado publicamente e pode ser usado em ataques.
O CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada nas fontes consultadas.
A disponibilidade pública de um exploit justifica priorizar a correção, mesmo sem confirmação de uso em ambientes reais.

Correção e mitigação

O registro não informa correção do fornecedor. Verifique os canais oficiais do projeto por uma versão atualizada ou correção.
Se não houver correção, considere remover ou desativar a funcionalidade afetada até que uma versão segura esteja implantada.
Restrinja o acesso a páginas administrativas e de gestão de conteúdo, e mantenha essas aplicações fora do alcance de redes não confiáveis.
Aplique o princípio do menor privilégio à conta de banco de dados usada pela aplicação, limitando-a ao estritamente necessário.
Como tarefa de desenvolvimento, revise o trecho de código para uso de consultas parametrizadas e validação de entrada.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições ao delete_post.php com valores incomuns ou malformados no parâmetro ID.
Monitore os logs do banco de dados em busca de erros ou padrões de consulta inesperados originados da conta da aplicação.
Configure alertas para picos de respostas de erro no endpoint afetado, pois podem indicar varreduras.

Limitações das informações disponíveis

O registro não identifica o código vulnerável exato, a lógica de validação do parâmetro nem o nome preciso da função afetada.
Não há versão corrigida, aviso do fornecedor ou patch no registro.
As pontuações variam entre provedores: a NVD atribui 9.8 no CVSS 3.1, enquanto a CNA (VulDB) lista 7.3 no CVSS 3.1, 7.5 no CVSS 2.0 e 5.5 no CVSS 4.0.
A probabilidade EPSS registrada é 0,00376, com percentil de 0,29666; isso indica baixa estimativa de exploração no curto prazo, mas não confirma exploração.

Perguntas frequentes

Qual é a vulnerabilidade do CVE-2026-2083?

É uma fraqueza de injeção de SQL (CWE-89) no arquivo delete_post.php do code-projects Social Networking Site 1.0, acionada pelo argumento ID.

Este CVE está sendo explorado ativamente?

Ele não consta no catálogo KEV da CISA e as fontes consultadas não confirmam exploração ativa. O registro afirma que um exploit foi divulgado publicamente.

Existe correção oficial?

O registro não informa versão corrigida nem patch do fornecedor. Verifique os canais do projeto e considere desativar a funcionalidade afetada, se não houver correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.