CVE-2026-2122: Xiaopi Panel: injeção de SQL no componente WAF Firewall

Visão geral

A CVE-2026-2122 é uma vulnerabilidade de injeção de SQL (CWE-89) no componente WAF Firewall do Xiaopi Panel, especificamente no tratamento do argumento ID pelo arquivo /demo.php. O registro foi publicado em 2026-02-08 pela VulDB, na função de CNA. Segundo a descrição, a falha afeta o Xiaopi Panel até a versão 20260126.

Impacto

Confirmado: a avaliação da NVD atribui nota base 9,8 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica acesso pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, e alto impacto na confidencialidade, integridade e disponibilidade.
Inferência: uma injeção de SQL bem-sucedida em um componente de gerenciamento exposto à web pode expor ou alterar dados do banco e pode afetar a continuidade do serviço.

Produtos e versões afetados

Produto: Xiaopi Panel, componente WAF Firewall, arquivo /demo.php.
Faixa informada no registro: até 20260126 (listada como até 2026-01-26).
O registro não informa versão corrigida.

Situação de exploração

A CVE-2026-2122 não aparece listada no catálogo KEV da CISA neste registro, portanto não há exploração ativa confirmada nas fontes consultadas.
A descrição afirma que o exploit foi divulgado publicamente e pode ser usado em ataques. Material de exploit público aumenta o risco, mas o registro não confirma seu uso contra algum sistema.
A probabilidade EPSS é 0,0031 (cerca de 0,31 por cento), com percentil de 0,22077.

Correção e mitigação

O registro não contém correção do fornecedor, e o fornecedor não respondeu à divulgação antecipada. Considere as implantações afetadas como sem correção, salvo confirmação do fornecedor.
Restrinja o acesso à interface administrativa do Xiaopi Panel a redes confiáveis e usuários de VPN.
Desative ou remova o componente WAF Firewall e arquivos de demonstração como /demo.php quando não forem necessários.
Aplique defesa em profundidade: use contas de banco com privilégio mínimo para a aplicação e confirme que qualquer código customizado usa consultas parametrizadas.
Se não houver correção do fornecedor, avalie a substituição do produto conforme o processo de risco da sua organização.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições a /demo.php com valores incomuns ou malformados no parâmetro ID, e de erros repetidos relacionados ao banco de dados.
Monitore alertas de WAF ou IDS com padrões de injeção de SQL direcionados ao painel e correlacione com os endereços de origem.
Verifique alterações inesperadas no banco, novas contas ou exportações em massa de dados originadas do host do painel.

Limitações das informações disponíveis

O registro não contém versão corrigida, patch ou aviso do fornecedor.
Como o fornecedor não respondeu, os limites de versão confirmados pelo fabricante são desconhecidos além da faixa informada.
As notas CVSS variam conforme a fonte: NVD com CVSS 3.1 nota 9,8; CNA VulDB com notas 2.1 (CVSS 4.0), 6.3 (CVSS 3.1) e 6.5 (CVSS 2.0). A nota da NVD é a principal no registro.
Uma issue no GitHub citada no registro está marcada como Not Applicable, e seu conteúdo não foi analisado aqui.
Detalhes do trecho de código vulnerável e pré-condições além do vetor informado não constam no registro.

Perguntas frequentes

Quais versões do Xiaopi Panel são afetadas pela CVE-2026-2122?

O registro informa que a falha afeta o Xiaopi Panel até a versão 20260126, listada como até 2026-01-26. Não há versão corrigida informada no registro.

A CVE-2026-2122 está sendo explorada ativamente?

O registro não a lista no catálogo KEV da CISA, portanto não há exploração ativa confirmada nas fontes consultadas. A descrição afirma, porém, que existe exploit público que pode ser usado em ataques.

O que os administradores devem fazer agora?

Restrinja o acesso à interface administrativa, desative o componente WAF Firewall e arquivos de demonstração quando não forem necessários, use contas de banco com privilégio mínimo e monitore logs com atividade incomum no parâmetro ID.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.