CVE-2026-2090: Injeção de SQL no SourceCodester Online Class Record System

Visão geral

A CVE-2026-2090 é um problema de injeção de SQL no SourceCodester Online Class Record System 1.0. Segundo a descrição, a falha está no processamento do argumento term no arquivo /admin/message/search.php. O registro foi publicado em 07/02/2026 e está marcado como analisado.

Impacto

A NVD atribui pontuação base CVSS 3.1 de 9.8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica ataque pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário.
O vetor aponta alto impacto sobre confidencialidade, integridade e disponibilidade. Na prática, o efeito em cada instalação depende da configuração do banco de dados e da aplicação, que o registro não descreve.
O CWE associado no registro é o CWE-74 (Injeção), enquanto a descrição fala especificamente em injeção de SQL.

Produtos e versões afetados

A descrição menciona o SourceCodester Online Class Record System 1.0.
O campo estruturado de produto afetado lista Janobe Online Class Record System na versão 1.0. O registro não concilia esses dois nomes de produto.
Nenhuma versão corrigida está listada no registro.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA. Não há evidência confirmada de exploração ativa nas fontes consultadas.
A descrição afirma que a exploração foi divulgada publicamente e pode ser utilizada.
A probabilidade EPSS informada é 0.00363, com percentil de 0.28292.

Correção e mitigação

Nenhuma correção do fabricante é identificada no registro. A ausência de versão corrigida listada não significa que ela não exista, por isso vale consultar o fornecedor ou o projeto SourceCodester.
Restrinja o acesso a caminhos administrativos como /admin a usuários de confiança, usando controles de rede ou um gateway de autenticação.
Peça à equipe de desenvolvimento o uso de consultas parametrizadas e validação rigorosa de entradas no servidor para os parâmetros de busca.
Se o produto estiver em uso e não houver correção verificada, considere isolá-lo ou removê-lo até que a remediação seja confirmada.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns para /admin/message/search.php, especialmente com valores anormais ou excessivamente longos no parâmetro term.
Monitore mensagens de erro de banco de dados retornadas pela aplicação e comportamentos inesperados de consulta.
Use alertas de firewall de aplicação web para padrões de injeção de SQL como controle complementar, não como substituto das correções de código.

Limitações das informações disponíveis

Os nomes de produto divergem entre a descrição e o campo de produto afetado, e o registro não esclarece qual produto e fornecedor estão corretos.
Nenhuma versão corrigida, patch ou aviso do fabricante está listado no registro.
As pontuações CVSS da CNA (VulDB) diferem da pontuação da NVD, e o registro não explica a diferença.
A data do EPSS no registro é 13/10/2026, que deve ser verificada na fonte de dados atual.
O caminho de código vulnerável não é descrito além do nome do arquivo e do parâmetro.

Perguntas frequentes

Esta CVE está sendo explorada ativamente?

O registro indica que ela não consta no catálogo KEV da CISA, por isso não há evidência confirmada de exploração ativa nas fontes consultadas. A descrição afirma, porém, que uma exploração foi divulgada publicamente.

Há correção disponível?

Nenhuma versão corrigida está listada no registro. Consulte o fornecedor ou o projeto e, enquanto isso, restrinja o acesso a caminhos administrativos e reforce a validação de entradas e as consultas parametrizadas.

Qual produto é afetado?

A descrição menciona o SourceCodester Online Class Record System 1.0, enquanto o campo de produto afetado indica Janobe Online Class Record System 1.0. O registro não resolve essa divergência.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.