CVE-2026-2115: Injeção de SQL no Society Management System 1.0 da itsourcecode em delete_expenses.php
A CVE-2026-2115 descreve uma falha de injeção de SQL no itsourcecode Society Management System 1.0, acessível pelo argumento expenses_id do arquivo /admin/delete_expenses.php. O NVD atribui pontuação base CVSS 3.1 de 9.8 (crítica) e o registro informa que um exploit foi publicado. O CVE não consta no catálogo KEV da CISA e não há versão corrigida registrada nas fontes consultadas.
Visão geral
A CVE-2026-2115 é uma falha no itsourcecode Society Management System 1.0 que o registro classifica como injeção (CWE-74, Injection). O problema está ligado ao arquivo /admin/delete_expenses.php e ao seu argumento expenses_id, e o registro descreve o resultado como injeção de SQL. Segundo o registro, o problema pode ser explorado remotamente.
Impacto
Uma injeção de SQL pode permitir que um atacante afete o banco de dados da aplicação de formas não previstas pelos desenvolvedores, como leitura, alteração ou exclusão de dados. A pontuação base 9.8 do NVD corresponde a um vetor acessível pela rede, com baixa complexidade, sem necessidade de privilégios, sem interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. O impacto real depende de cada implantação e não é descrito nas fontes.
Produtos e versões afetados
- O campo de produtos afetados lista Society Management System, versão 1.0.
- A descrição indica itsourcecode como fornecedor, enquanto o campo de produtos afetados indica Angeljudesuarez. O registro não resolve essa divergência.
- Nenhuma versão corrigida está listada no registro.
Status de exploração
- O registro informa que o exploit foi publicado e pode ser utilizado. Uma issue do GitHub marcada como referência de exploit está entre as referências.
- O CVE não consta no catálogo KEV da CISA, portanto nenhuma exploração ativa confirmada aparece nas fontes consultadas.
- A FIRST EPSS informa probabilidade de 0.00379 e percentil de 0.29976 no registro.
Correção e mitigação
- Nenhuma correção do fornecedor está registrada. Verifique primeiro se a aplicação está implantada no seu ambiente.
- Restrinja o acesso a caminhos administrativos como /admin com controles de rede e autenticação forte, evitando expor a aplicação à internet.
- Revise o código para uso de consultas parametrizadas e validação de entrada no arquivo afetado, ou substitua o componente por uma alternativa mantida.
- Acompanhe a entrada da VulDB e o registro do NVD para atualizações.
Orientação para detecção
- Analise os logs do servidor web e da aplicação em busca de requisições incomuns ao delete_expenses.php, especialmente com valores inesperados de parâmetros ou mensagens de erro de banco de dados.
- Se houver firewall de aplicação web, verifique alertas relacionados a padrões de injeção de SQL nesse caminho.
- Audite a atividade do banco de dados em busca de exclusões ou consultas inesperadas originadas da conta usada pela aplicação web.
Limitações das informações disponíveis
- Não há versão corrigida nem aviso oficial do fornecedor registrado.
- O nome do fornecedor diverge entre a descrição e o campo de produtos afetados.
- O registro não descreve a exposição real nem o número de implantações.
- A análise usa somente o registro e as referências listadas, que podem não ser completas.
Perguntas frequentes
A CVE-2026-2115 está sendo explorada ativamente?
O registro informa que um exploit foi publicado, mas o CVE não consta no KEV da CISA. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Existe versão corrigida para este problema?
Nenhuma versão corrigida está listada no registro. Enquanto não houver correção do fornecedor, restrinja o acesso ao caminho administrativo afetado e revise o código da aplicação.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.