CVE-2026-2158: Injeção de SQL no Student Web Portal 1.0 via /check_user.php

Visão geral

Foi relatada uma falha de injeção de SQL (CWE-89) no Student Web Portal 1.0. Segundo o registro, o argumento Username tratado por /check_user.php pode ser manipulado para inserir sintaxe SQL, e o ataque pode ser iniciado remotamente. As informações disponíveis são limitadas, por isso detalhes além desta descrição não são confirmados aqui. Consulte a entrada na NVD e o registro CVE.

Impacto

A injeção de SQL pode permitir que um atacante leia, altere ou apague dados do banco de dados da aplicação, dependendo das permissões do banco e do desenho da aplicação. A NVD atribui nota 9.8 com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve acesso pela rede, sem privilégios e sem interação do usuário. O registro não descreve as consequências concretas em nenhuma implantação real.

Produtos e versões afetadas

O registro lista o produto afetado como Carmelo Student Web Portal, versão 1.0.
A descrição cita code-projects Student Web Portal 1.0. Os dois nomes diferem e o registro não resolve essa divergência.
Nenhuma outra versão afetada é listada.

Status de exploração

A falha não consta no CISA KEV, portanto não se afirma exploração ativa aqui. Nenhuma exploração confirmada aparece nas fontes consultadas. Um documento de terceiros no GitHub está marcado como Exploit no registro, mas essa marcação não comprova exploração na natureza. O EPSS informa probabilidade de 0.00431 e percentil de 0.35512.

Correção e mitigação

Nenhuma versão corrigida é identificada no registro. A ausência de versão corrigida não significa que não exista correção, por isso verifique com os mantenedores do produto e no site da code-projects.
A única entrada de correção é do tipo mitigação e aponta para o documento de terceiros no GitHub.
Até que uma atualização seja confirmada, restrinja a exposição de rede do portal, especialmente a funcionalidade de login.
Use consultas parametrizadas ou prepared statements no trecho de código afetado e revise outras chamadas ao banco na mesma aplicação.
Aplique o princípio do menor privilégio à conta de banco usada pela aplicação.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições ao endpoint de login com caracteres incomuns ou mensagens de erro de banco de dados.
Monitore erros inesperados de banco e picos de tentativas de autenticação malsucedidas.
Regras de firewall de aplicação web ajustadas a padrões de injeção de SQL podem somar uma camada de defesa, mas não substituem a correção no código.

Limitações das informações disponíveis

O registro não confirma qual fornecedor ou projeto mantém o produto.
Nenhuma versão corrigida, patch ou aviso oficial do fornecedor é listado.
A função afetada dentro de /check_user.php é descrita como desconhecida.
A VulDB fornece pontuações CVSS 4.0 e 2.0 diferentes da pontuação da NVD; elas são listadas como dados do provedor e não são conciliadas aqui.
A data do EPSS no registro é posterior à data de publicação, por isso sua temporalidade deve ser verificada.

Perguntas frequentes

A CVE-2026-2158 está sendo explorada ativamente?

O CISA KEV não lista esta CVE e nenhuma exploração confirmada aparece nas fontes consultadas. Uma referência de terceiros está marcada como Exploit, mas essa marcação isoladamente não comprova exploração na natureza.

Qual versão é afetada?

O registro lista a versão 1.0 do produto afetado. O nome do produto difere entre a descrição e o campo de produto afetado, e o registro não resolve essa divergência.

Existe versão corrigida?

O registro não identifica versão corrigida. A única entrada de correção é do tipo mitigação e aponta para um documento de terceiros no GitHub. Consulte os mantenedores do produto para atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.