CVE-2026-2133: Upload irrestrito de arquivos no Online Music Site 1.0 da code-projects via AdminUpdateCategory.php

Visão geral

A CVE-2026-2133 descreve uma fraqueza no Online Music Site 1.0 da code-projects. O registro localiza o problema no arquivo /Administrator/PHP/AdminUpdateCategory.php, em que a manipulação do argumento txtimage permite upload irrestrito. A CNA é a VulDB e a CWE atribuída é a CWE-284 (Controle de Acesso Inadequado). A descrição e a classificação CWE não coincidem totalmente, por isso a causa raiz deve ser confirmada na entrada da VulDB ou com o fornecedor.

Impacto

A NVD atribui pontuação 9.8 (Crítica) no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica acesso pela rede, sem privilégios e sem interação do usuário.
Upload irrestrito em aplicação web pode, conforme a configuração do servidor, permitir que um atacante grave arquivos no servidor. O registro não informa quais tipos de arquivo são aceitos nem o que o servidor faz com eles, então o impacto final é desconhecido.
A VulDB também fornece outras pontuações (7.3 no 3.1, 5.5 no 4.0 e 7.5 no 2.0) que diferem da NVD.

Produtos e versões afetados

O registro lista o Fabian Online Music Site, versão 1.0. A descrição menciona o Online Music Site 1.0 da code-projects. A nomenclatura de fornecedor e produto deve ser conciliada antes do cruzamento com inventários.
Nenhuma versão corrigida está listada no registro. Isso não significa que não exista correção; o status de uma correção é desconhecido.

Status de exploração

O registro afirma que um exploit foi disponibilizado publicamente e poderia ser usado em ataques. Há uma referência marcada como material de exploit. Esta análise não reproduz detalhes de exploração.
A CVE não consta como listada no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas.
A probabilidade EPSS registrada é 0.0047, com percentil 0.38926, conforme os dados fornecidos.

Correção e mitigação

Nenhuma correção do fornecedor é identificada no registro. Verifique atualizações no código-fonte do produto e, se não houver, considere remover ou substituir a aplicação, por se tratar de projeto de terceiros de pequeno porte.
Restrinja o acesso a caminhos administrativos como /Administrator, para que não sejam alcançáveis a partir de redes não confiáveis, usando controles de rede ou autenticação na frente da aplicação.
Aplique validação no servidor do tipo, tamanho e conteúdo dos arquivos enviados, e armazene uploads fora de diretórios web executáveis.
Revise diretórios de upload existentes em busca de arquivos inesperados e remova os que não puderem ser atribuídos a uso legítimo.

Orientação para detecção

Analise logs do servidor web e da aplicação em busca de requisições a /Administrator/PHP/AdminUpdateCategory.php, especialmente de origens inesperadas ou com conteúdo de parâmetro incomum.
Monitore a integridade de diretórios de imagens e uploads em busca de arquivos novos com características executáveis ou de script.
Gere alertas para acessos diretos a arquivos recém-criados em locais de upload.

Limitações das informações disponíveis

O registro não identifica o caminho exato de código, os tipos de arquivo aceitos nem o comportamento do servidor após o upload.
Nenhuma versão corrigida, aviso do fornecedor ou patch é listado.
A atribuição CWE (CWE-284) tem ênfase diferente da descrição de upload irrestrito; a classe de fraqueza subjacente não é confirmada pelo registro.
A data do EPSS no registro é posterior à data de publicação e deve ser verificada na fonte.
A cobertura de versões afetadas além da versão 1.0 é desconhecida.

Perguntas frequentes

A CVE-2026-2133 está sendo explorada ativamente?

O registro não mostra a CVE no catálogo KEV da CISA e não há exploração ativa confirmada nas fontes consultadas. O registro afirma que um exploit foi disponibilizado publicamente.

Existe correção oficial para esta vulnerabilidade?

O registro não lista versão corrigida. O status de correção é desconhecido, então o produto deve ser verificado quanto a atualizações ou substituído se nenhuma existir.

O que os administradores podem fazer agora?

Restringir o acesso a caminhos administrativos, validar arquivos enviados no servidor, armazenar uploads fora de diretórios executáveis e revisar logs e pastas de upload em busca de atividade inesperada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.