CVE-2026-2114: itsourcecode Society Management System - Injeção de SQL via admin_id
O CVE-2026-2114 é uma falha crítica de injeção de SQL no itsourcecode Society Management System 1.0, acessível remotamente pelo argumento admin_id do arquivo /admin/edit_admin.php. O NVD atribui pontuação base CVSS 3.1 de 9.8, enquanto o CNA VulDB informa pontuações menores em outras versões do CVSS. O registro indica que existe exploit público, mas a falha não consta no catálogo CISA KEV, portanto não há exploração ativa confirmada nas fontes consultadas.
Visão geral
O CVE-2026-2114 afeta o itsourcecode Society Management System 1.0 e é descrito como uma injeção de SQL causada pelo argumento admin_id do arquivo /admin/edit_admin.php. O registro foi publicado em 07/02/2026 e foi analisado pelo NVD. O CNA responsável é a VulDB.
Impacto
Um atacante que consiga enviar requisições ao endpoint afetado pode, potencialmente, influenciar as consultas ao banco de dados usadas pela aplicação. A pontuação base 9.8 do NVD usa o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica acesso pela rede, ausência de privilégios e de interação do usuário, além de alto impacto em confidencialidade, integridade e disponibilidade. As consequências reais em cada ambiente não são descritas no registro.
Produtos e versões afetados
- O campo de produtos afetados lista Angeljudesuarez Society Management System, versão 1.0.
- A descrição menciona itsourcecode Society Management System 1.0, e a lista de referências aponta para itsourcecode.com.
- Nenhuma versão corrigida é indicada no registro.
Situação de exploração
O registro informa que o exploit está público e pode ser utilizado, e inclui uma referência marcada como exploit. A falha não consta no catálogo CISA KEV, portanto as fontes consultadas não confirmam exploração ativa ou explorada na natureza. A probabilidade EPSS informada é 0,00429, com percentil de 0,35406.
Correção e mitigação
- Nenhuma correção do fornecedor consta nas fontes. Consulte o fornecedor ou os canais oficiais do produto para verificar uma versão atualizada.
- Restrinja o acesso às rotas administrativas a redes e contas confiáveis até que uma correção seja confirmada.
- Desenvolvedores devem validar entradas e migrar o acesso ao banco de dados para consultas parametrizadas no código afetado.
- Se não for possível aplicar correção, mantenha a aplicação atrás de controles que limitem e registrem as requisições à interface administrativa.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições ao edit_admin.php com valores incomuns de admin_id e de erros de banco de dados associados a esse endpoint.
- Monitore criações ou alterações inesperadas em contas de administrador.
- Gere alertas para picos de requisições a endpoints administrativos vindos de origens desconhecidas.
Limitações das informações disponíveis
O registro não identifica as linhas de código vulneráveis, a lista completa de builds afetados além da versão 1.0, uma versão corrigida ou um aviso do fornecedor. O nome do produto difere entre a descrição e o campo de produtos afetados. O registro atribui CWE-74 (Injeção), classe mais ampla que a CWE-89, específica para injeção de SQL, e não explica a escolha. As pontuações variam conforme a versão do CVSS e o provedor, incluindo CVSS 2.0, 3.1 e 4.0.
Perguntas frequentes
Qual é a vulnerabilidade do CVE-2026-2114?
Segundo o registro, trata-se de uma injeção de SQL no argumento admin_id do arquivo /admin/edit_admin.php do itsourcecode Society Management System 1.0.
Há exploração ativa confirmada para este CVE?
O registro informa que existe exploit público, mas a falha não consta no CISA KEV. As fontes consultadas não confirmam exploração ativa.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.