CVE-2026-2116: itsourcecode Society Management System: injeção de SQL em edit_expenses.php

Visão geral

O registro descreve um problema de injeção de SQL no arquivo /admin/edit_expenses.php do itsourcecode Society Management System 1.0. Segundo o registro, a manipulação do argumento expenses_id leva a injeção de SQL, e o ataque pode ser iniciado remotamente. O registro classifica a fraqueza sob CWE-74 (Injeção), categoria mais ampla que a injeção de SQL especificamente.

Impacto

Em caso de exploração, a injeção de SQL poderia permitir leitura ou alteração não autorizada de dados armazenados no banco da aplicação, a depender da configuração e dos privilégios do banco (inferência).
A NVD atribui pontuação base CVSS 3.1 de 9,8, com alto impacto em confidencialidade, integridade e disponibilidade. A CNA, VulDB, indica 7,3 no CVSS 3.1, 7,5 no CVSS 2.0 e 5,5 no CVSS 4.0.

Produtos e versões afetadas

O registro lista o produto afetado como Angeljudesuarez Society Management System, versão 1.0. A descrição o nomeia como itsourcecode Society Management System 1.0, portanto a atribuição de fabricante difere entre os campos.
Nenhuma versão corrigida é listada no registro.

Situação da exploração

O registro afirma que o exploit foi divulgado publicamente e pode ser usado. Entre as referências há uma issue no GitHub marcada como exploit.
O catálogo KEV da CISA não lista este CVE no registro. Nenhuma exploração ativa confirmada é documentada nas fontes consultadas.
A probabilidade EPSS registrada é 0,00429, com percentil de 0,35404.

Correção e mitigação

Nenhuma correção do fabricante é identificada no registro. Verifique o site do fabricante e entre em contato para obter atualização ou orientação.
Enquanto uma correção não for confirmada, restrinja o acesso à área /admin a redes e contas confiáveis, e considere desativar o módulo se ele não for necessário.
Adote consultas parametrizadas ou prepared statements no acesso ao banco e valide o tipo esperado de identificadores como expenses_id.
Aplique o princípio do menor privilégio à conta de banco da aplicação para limitar o impacto de qualquer injeção.

Orientações de detecção

Revise logs do servidor web e da aplicação em busca de requisições a edit_expenses.php com valores inesperados ou malformados no parâmetro expenses_id.
Monitore logs de erro do banco de dados em busca de erros SQL originados pela aplicação.
Considere monitorar com firewall de aplicação web padrões de injeção nesse endpoint, reconhecendo que filtragem isolada não é um controle completo.

Limitações das informações disponíveis

Não há versão corrigida nem aviso do fabricante no registro.
O nome do fabricante difere entre o campo de produto afetado e a descrição, e o campo de título estava vazio no registro de origem.
As pontuações CVSS da NVD e da CNA diferem; o registro não explica a diferença.
Não está claro, pela descrição, se a etiqueta 'Permissions Required' em uma referência do VulDB significa que é necessária autenticação; isso deve ser verificado.
Dados SSVC estão ausentes no registro.

Perguntas frequentes

Qual é a vulnerabilidade no CVE-2026-2116?

O registro descreve uma injeção de SQL no argumento expenses_id do arquivo /admin/edit_expenses.php do itsourcecode Society Management System 1.0.

Existe correção disponível?

Nenhuma versão corrigida é listada no registro nem nas fontes consultadas. Verifique o fabricante e aplique as mitigações descritas até que uma correção seja confirmada.

Há exploração ativa confirmada?

O CVE não aparece no catálogo KEV da CISA no registro, e nenhuma exploração ativa confirmada é documentada nas fontes consultadas. O registro afirma que um exploit foi tornado público.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.