CVE-2026-2087: Injeção de SQL no login administrativo do Online Class Record System 1.0
A CVE-2026-2087 descreve uma falha de injeção de SQL na página /admin/login.php do Online Class Record System 1.0, acionada pelo parâmetro user_email e alcançável remotamente segundo o registro. A NVD atribui pontuação base CVSS 3.1 de 9.8, e a descrição informa que um exploit público foi publicado. O catálogo KEV da CISA não lista esta CVE e o registro não traz versão corrigida.
Visão geral
O registro descreve uma falha de injeção de SQL na página de login administrativo (/admin/login.php) do Online Class Record System 1.0. A entrada vulnerável é o parâmetro user_email, e a descrição informa que o ataque pode ser iniciado remotamente.
Impacto
- Uma falha de injeção de SQL em formulário de login pode permitir que um invasor leia ou altere dados do banco tratados por essa lógica, conforme a forma como a aplicação monta suas consultas (inferência).
- A NVD atribui pontuação base CVSS 3.1 de 9.8, com alto impacto em confidencialidade, integridade e disponibilidade.
- A CNA VulDB também fornece pontuações no registro: 5,5 no CVSS 4.0, 7,3 no CVSS 3.1 e 7,5 no CVSS 2.0.
Produtos e versões afetadas
- O registro indica como produto afetado o Janobe Online Class Record System, versão 1.0, enquanto a descrição cita o SourceCodester Online Class Record System 1.0. As fontes consultadas não esclarecem essa diferença de nome.
- Nenhuma versão corrigida é listada. Isso não confirma a inexistência de correção.
Status de exploração
A CVE não consta no catálogo KEV da CISA neste registro. A descrição informa que um exploit foi publicado e pode ser utilizado. Não há exploração ativa confirmada nas fontes consultadas.
Remediação e mitigação
- Verifique se o ambiente utiliza esta aplicação e, em caso afirmativo, restrinja o acesso às páginas de login administrativo apenas a redes confiáveis.
- Acompanhe as páginas do fornecedor e do projeto em busca de correção, pois nenhuma é listada no registro.
- Aplique defesas padrão contra injeção de SQL: consultas parametrizadas, validação rigorosa de entradas e conta de banco com privilégios mínimos.
- Considere um firewall de aplicação web apenas como controle compensatório temporário, reconhecendo suas limitações.
Orientação para detecção
- Analise os logs do servidor web em busca de valores incomuns ou malformados no parâmetro user_email em requisições ao caminho de login administrativo.
- Observe erros inesperados de banco de dados ou anomalias de autenticação no endpoint de login.
Limitações das informações disponíveis
- A entrada da VulDB traz a marcação Permissions Required, que conflita com a métrica PR:N do registro. Portanto, o requisito de privilégio é desconhecido.
- A referência do GitHub está marcada como link quebrado.
- O registro não traz versão corrigida, aviso do fornecedor nem dados do KEV.
Perguntas frequentes
A CVE-2026-2087 é explorada ativamente?
A CVE não consta no catálogo KEV da CISA neste registro e não há exploração ativa confirmada nas fontes consultadas. A descrição informa que existe um exploit publicado que pode ser utilizado.
Qual parâmetro é afetado?
A descrição identifica o argumento user_email na página /admin/login.php como a entrada vulnerável.
Existe versão corrigida?
O registro não lista versão corrigida. Isso não confirma que não haja correção, por isso verifique atualizações junto ao fornecedor ou projeto.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.