CVE-2026-2088: Injeção de SQL no PHPGurukul Beauty Parlour Management System via delid
Foi divulgada uma falha de injeção de SQL no PHPGurukul Beauty Parlour Management System 1.1, no arquivo administrativo /admin/accepted-appointment.php, por meio do argumento delid. A NVD atribui pontuação base CVSS 3.1 de 9.8 (Crítica), e o registro informa que a exploração foi divulgada publicamente. As fontes consultadas não listam versão corrigida nem exploração confirmada na natureza.
Visão geral
O registro descreve um problema de injeção de SQL no PHPGurukul Beauty Parlour Management System 1.1. A falha é acessível pelo argumento delid da página administrativa /admin/accepted-appointment.php. A VulDB atua como CNA, e o registro classifica a fraqueza como CWE-74 (Injection).
Impacto
- A NVD atribui pontuação base CVSS 3.1 de 9.8 (Crítica). O vetor indica vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade.
- A VulDB apresenta pontuações alternativas de 7.3 (CVSS 3.1), 5.5 (CVSS 4.0) e 7.5 (CVSS 2.0).
- Uma injeção de SQL bem-sucedida pode permitir a leitura ou a alteração do conteúdo do banco de dados. O registro não descreve quais dados esta aplicação expõe.
Produtos e versões afetadas
- Phpgurukul Beauty Parlour Management System, versão 1.1, conforme listado no registro.
- Demais versões: desconhecido. O registro não informa um intervalo de versões.
- Versões corrigidas: nenhuma listada no registro. Isso não confirma que não exista correção.
Status de exploração
- O registro não indica inclusão no catálogo KEV da CISA. Não há exploração confirmada na natureza nas fontes consultadas.
- O registro informa que a exploração foi divulgada publicamente e pode ser utilizada. Entre as referências há uma issue no GitHub marcada como Exploit.
Correção e mitigação
- O registro não lista correção do fornecedor. Verifique o fornecedor em PHPGurukul e considere a aplicação sem correção até que uma solução seja confirmada.
- Restrinja o acesso às páginas administrativas a redes e contas confiáveis.
- Oriente as equipes de desenvolvimento a usar consultas parametrizadas e validação rigorosa de entradas no lado do servidor no endpoint afetado.
- Se não houver correção, avalie substituir ou remover a aplicação de ambientes expostos.
- Revise os privilégios da conta de banco de dados usada pela aplicação, mantendo apenas o acesso necessário.
Orientações de detecção
- Analise os logs do servidor web em busca de requisições ao accepted-appointment.php com valores incomuns ou malformados no parâmetro delid.
- Monitore mensagens de erro do banco de dados e padrões de consulta inesperados originados da aplicação web.
- Gere alertas para acessos a caminhos administrativos a partir de endereços externos inesperados.
Limitações das informações disponíveis
- Não há versão corrigida, patch ou aviso do fornecedor no registro.
- O registro não informa a autenticação necessária para acessar a página afetada. Uma entrada da VulDB está marcada como Permissions Required, mas os privilégios não são especificados.
- O registro não traz dados do KEV além da ausência de inclusão. O valor EPSS é 0.00429, com percentil 0.35405, datado de 2026-10-13.
- O registro de origem não possui título; o título acima foi redigido a partir do nome do produto e da classe da fraqueza.
Perguntas frequentes
Qual é a vulnerabilidade do CVE-2026-2088?
É uma injeção de SQL no PHPGurukul Beauty Parlour Management System 1.1, acessível pelo argumento delid de /admin/accepted-appointment.php. A NVD a pontua em 9.8 pelo CVSS 3.1.
Existe versão corrigida ou exploração confirmada?
O registro não lista versão corrigida e não indica inclusão no catálogo KEV da CISA. Ele informa que a exploração é pública, mas não há exploração confirmada na natureza nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.