CVE-2026-2136: Projectworlds Online Food Ordering System 1.0: Injeção de SQL em view-ticket.php
Foi relatada uma falha de injeção de SQL no Projectworlds Online Food Ordering System 1.0, no argumento ID do arquivo /view-ticket.php, que pode ser explorada remotamente. O NVD classifica a falha com 9.8 (Crítica) no CVSS 3.1, e o registro informa que há um exploit publicado. A CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada nas fontes consultadas.
Visão geral
Falha de injeção de SQL (CWE-89) afeta o Projectworlds Online Food Ordering System 1.0. De acordo com o registro, o problema está em uma função não identificada do arquivo /view-ticket.php, onde a manipulação do argumento ID pode levar a injeção de SQL. A entrada no NVD e a entrada na VulDB descrevem o problema.
Impacto
- Uma injeção de SQL bem-sucedida pode permitir a leitura, alteração ou remoção de dados do banco de dados da aplicação, dependendo da configuração do banco.
- O NVD atribui pontuação 9.8 (Crítica) no CVSS 3.1, com alto impacto em confidencialidade, integridade e disponibilidade.
- As pontuações da CNA VulDB no registro diferem (5.5 no CVSS 4.0, 7.3 no CVSS 3.1 e 7.5 no CVSS 2.0), portanto a severidade depende da fonte de pontuação.
Produtos e versões afetadas
- O Projectworlds Online Food Ordering System, versão 1.0, é a única versão listada no registro.
- O registro não informa nenhuma versão corrigida.
Status de exploração
O registro informa que o exploit foi publicado e pode ser utilizado, e que o ataque pode ser realizado remotamente. Esta CVE não consta no catálogo KEV da CISA, por isso não há exploração ativa confirmada na natureza nas fontes consultadas. A probabilidade EPSS no registro é 0.00379 (percentil 0.29989).
Correção e mitigação
- Nenhuma versão corrigida pelo fornecedor é identificada no registro. A ausência de versão corrigida não confirma que não exista correção.
- O registro vincula uma issue no GitHub marcada como mitigação. Seu conteúdo não foi revisado nesta análise.
- Restrinja o acesso à aplicação e às páginas de chamados a usuários confiáveis até que o risco seja avaliado.
- Consulte o responsável pelo software sobre uma versão corrigida e aplique consultas parametrizadas e validação rigorosa de entrada em todos os parâmetros que acessam o banco.
- Use regras de firewall de aplicação web como controle compensatório temporário, sabendo que elas não substituem a correção do código.
- Se não houver correção, considere remover ou substituir a aplicação.
Orientações de detecção
- Revise os logs do servidor web e da aplicação quanto à página de chamados, buscando valores incomuns, malformados ou excessivamente longos no parâmetro ID.
- Monitore mensagens de erro do banco de dados e picos inesperados de consultas originadas da aplicação web.
- Gere alertas para requisições de origens desconhecidas direcionadas a essa página.
Limitações das informações disponíveis
- O registro não descreve em detalhes a função afetada nem as condições exatas para exploração.
- Nenhum aviso do fornecedor ou versão corrigida é listado.
- O registro contém uma data EPSS (2026-10-13) que deve ser verificada na fonte antes de ser usada.
- O conteúdo da issue no GitHub e das entradas da VulDB não foi verificado de forma independente nesta análise.
Perguntas frequentes
Qual é a vulnerabilidade na CVE-2026-2136?
É uma falha de injeção de SQL (CWE-89) no argumento ID tratado por /view-ticket.php no Projectworlds Online Food Ordering System 1.0.
Esta CVE está sendo explorada ativamente?
O registro informa que um exploit publicado pode ser usado, mas esta CVE não consta no catálogo KEV da CISA, por isso não há exploração ativa confirmada nas fontes consultadas.
Existe versão corrigida?
O registro não informa versão corrigida. Ele vincula uma issue no GitHub marcada como mitigação, cujo conteúdo não foi revisado aqui.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.