CVE-2026-2117: Injeção de SQL no Society Management System 1.0 da itsourcecode

Visão geral

Foi relatada uma vulnerabilidade de injeção de SQL em uma função não identificada do arquivo /admin/edit_activity.php do itsourcecode Society Management System 1.0, acionada pelo argumento activity_id. O CNA (VulDB) informa que o ataque pode ser iniciado remotamente, e o registro indica que um exploit foi tornado público. A NVD lista pontuação CVSS 3.1 base de 9,8.

Impacto

Uma injeção de SQL bem-sucedida poderia permitir a leitura ou alteração de dados do banco, dependendo de como a aplicação usa o banco (inferência).
O vetor da NVD, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, descreve acesso pela rede, baixa complexidade, ausência de privilégios exigidos, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
A fraqueza atribuída é a CWE-74 (Injeção).

Produtos e versões afetados

O registro lista o produto afetado como Angeljudesuarez Society Management System, versão 1.0.
A descrição menciona itsourcecode Society Management System 1.0. A nomenclatura de fornecedor e produto é inconsistente entre os campos.
Nenhuma versão corrigida está listada no registro.

Status de exploração

A CVE não consta no catálogo KEV da CISA no registro. Não há exploração ativa confirmada nas fontes consultadas.
Há referência a uma issue no GitHub marcada como exploit, e o registro informa que o exploit foi tornado público. Material público de exploração aumenta o risco, mas não confirma uso em ataques reais.
A probabilidade EPSS registrada é 0,00376, com percentil 0,29667, datada de 2026-10-13.

Correção e mitigação

Nenhuma correção do fornecedor está listada no registro. A ausência não significa que não exista correção, por isso verifique diretamente os canais do fabricante e do produto.
Se a aplicação não puder ser corrigida ou substituída, restrinja o acesso às rotas administrativas por controles de rede, VPN ou lista de IPs permitidos.
Desenvolvedores devem usar consultas parametrizadas e validação rigorosa de todos os parâmetros usados no banco.
Se o software não for necessário, desative-o ou remova-o e migre para uma alternativa mantida.
Revise os privilégios das contas de banco e troque credenciais caso haja suspeita de comprometimento.

Orientações de detecção

Analise os logs do servidor web em busca de requisições a /admin/edit_activity.php com caracteres incomuns ou valores inesperados em activity_id.
Procure mensagens de erro do banco, padrões de consulta inesperados ou alterações não explicadas em registros de atividades.
Alertas de firewall de aplicação para padrões de injeção de SQL podem ajudar, mas não devem ser tratados como proteção completa.

Limitações das informações disponíveis

O registro não contém versão corrigida nem aviso oficial do fornecedor.
Os nomes de fornecedor e produto divergem entre o campo de produtos afetados e a descrição.
O vetor da NVD indica que nenhum privilégio é exigido, enquanto uma referência do VulDB está marcada como Permissions Required. Isso deve ser verificado.
As pontuações CVSS variam por fonte: 9,8 (NVD, 3.1), 7,3 (CNA, 3.1), 5,5 (CNA, 4.0) e 7,5 (CNA, 2.0).
O alcance de versões afetadas além da 1.0 é desconhecido.
O exploit citado no registro não foi analisado, e esta análise não descreve seus detalhes.

Perguntas frequentes

A CVE-2026-2117 está sendo explorada ativamente?

O registro não a lista no KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas. O registro cita um exploit público, por isso o risco deve ser tratado como elevado.

Qual versão é afetada?

O registro lista a versão 1.0 do Society Management System. A nomenclatura do produto diverge entre os campos, e não há um intervalo mais amplo de versões informado.

Existe uma versão corrigida?

Nenhuma versão corrigida está listada no registro. Verifique diretamente o fornecedor ou a fonte do produto, pois a ausência não confirma que não exista correção.

O que os administradores devem fazer agora?

Restrinja o acesso às rotas administrativas, considere desativar a aplicação se ela não for necessária e revise privilégios de banco e logs em busca de atividade suspeita.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.