CVE-2026-2132: Injeção de SQL no code-projects Online Music Site 1.0

Visão geral

Os dados da NVD e do CNA descrevem uma fraqueza de injeção de SQL (CWE-89) no code-projects Online Music Site 1.0. Segundo o registro, o problema está no modo como o arquivo /Administrator/PHP/AdminUpdateCategory.php trata dados recebidos pelo argumento txtcat. A CVE foi publicada em 08/02/2026 e seu status na fonte é Analyzed.

Impacto

A NVD atribui pontuação base CVSS 3.1 de 9,8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando vetor de rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
O CNA vuldb.com informa pontuações adicionais de 7,3 (CVSS 3.1), 7,5 (CVSS 2.0) e 5,5 (CVSS 4.0).
Injeção de SQL, em geral, pode permitir leitura ou alteração não autorizada de dados no banco. As consequências específicas neste produto não são descritas no registro.

Produtos e versões afetados

O campo de produto afetado lista Fabian Online Music Site, versão 1.0, enquanto a descrição cita code-projects Online Music Site 1.0. Essa diferença de nomenclatura deve ser verificada no site do fornecedor code-projects.
Nenhuma versão corrigida consta no registro. Isso é uma informação desconhecida e não significa que não exista correção.

Status de exploração

O registro indica que a CVE não consta no CISA KEV, portanto estes dados não estabelecem exploração ativa confirmada.
A descrição afirma que o exploit foi divulgado publicamente e pode ser usado em ataques. O registro referencia uma entrada pública de rastreamento de problemas marcada como Exploit: issue no GitHub.
Não aparece exploração confirmada no ambiente real nas fontes consultadas.

Correção e mitigação

Nenhuma correção do fornecedor é identificada no registro. Até que uma correção ou uma declaração oficial do mantenedor seja confirmada, trate o produto como não corrigido.
Restrinja o acesso às funções administrativas a redes e contas confiáveis, ou remova ou desative a aplicação caso ela não seja necessária.
Limite a exposição da aplicação à internet e avalie se este software está em uso em produção.
Peça ao desenvolvedor ou mantenedor que aplique validação de entradas e consultas parametrizadas no código afetado, e verifique a alteração depois de feita.
Consulte entradas de terceiros como a entrada da VulDB para atualizações.

Orientação para detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns à funcionalidade administrativa de atualização de categorias.
Monitore erros de banco de dados e padrões anormais de consulta originados da aplicação web.
Observe alterações inesperadas em registros de categorias ou conteúdo.

Limitações das informações disponíveis

O registro não contém versão corrigida, correção do fornecedor nem aviso oficial do fornecedor.
O nome do produto difere entre a descrição e o campo de produto afetado.
A entrada EPSS tem data (13/10/2026) posterior à data de publicação; seu significado deve ser verificado antes de ser usado.
Detalhes do exploit não são reproduzidos intencionalmente aqui.

Perguntas frequentes

Qual é a vulnerabilidade da CVE-2026-2132?

O registro descreve uma fraqueza de injeção de SQL (CWE-89) no code-projects Online Music Site 1.0, no arquivo /Administrator/PHP/AdminUpdateCategory.php, pelo argumento txtcat.

A CVE-2026-2132 está sendo explorada ativamente?

O CISA KEV não lista esta CVE no registro e nenhuma exploração ativa confirmada aparece nas fontes consultadas. A descrição afirma que um exploit foi divulgado publicamente.

Existe versão corrigida disponível?

O registro não lista versão corrigida nem correção do fornecedor. Isso é desconhecido, então o produto deve ser tratado como não corrigido até que uma correção seja confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.